Una vulnerabilità del firmware nei wallet hardware Coldcard ha provocato uno dei più rilevanti incidenti di sicurezza Bitcoin del 2026, con perdite stimate ora oltre 130 milioni di dollari.

Secondo le analisi on-chain, l’attaccante responsabile del furto di 2,055 BTC (circa 130 milioni di dollari) ha ripreso l’attività. L’investigatore blockchain Lookonchain ha riportato il 7 agosto 2026:

The #Coldcard hacker, who stole 2,055 $BTC ($130M), is active again. An hour ago, the hacker transferred 30.185 $BTC ($1.94M) to a new wallet. pic.twitter.com/VTL5UB9xgH
— Lookonchain (@lookonchain) August 7, 2026

La vulnerabilità originaria risale a marzo 2021, quando un bug del firmware ha degradato la casualità della generazione della seed sui dispositivi Coldcard interessati. Questo ha ridotto la forza crittografica delle chiavi da 128 bit a circa 40 bit, rendendo i wallet vulnerabili ad attacchi brute-force senza alcun accesso fisico all’hardware. A 40 bit, lo spazio delle chiavi si riduce di trilioni rispetto alla sicurezza prevista a 128 bit, portando i wallet interessati alla portata di hardware di calcolo comune. Coldcard, prodotto da Coinkite, è ampiamente utilizzato tra gli utenti Bitcoin che privilegiano la self-custody per il suo design air-gapped, rendendo la falla nella casualità particolarmente rilevante per gli utenti che hanno scelto il dispositivo proprio per le sue caratteristiche di sicurezza.

Galaxy Digital ha confermato almeno tre ondate di attacchi che hanno prosciugato complessivamente i fondi di 7,300 wallet vittime. Una presunta quarta ondata potrebbe aumentare ulteriormente le perdite totali.

L’attività on-chain di Bitcoin aumenta

La società di analisi blockchain Glassnode ha riferito che gli indirizzi attivi di Bitcoin sono saliti a circa 980,000 al giorno dopo l’exploit, il livello più alto da dicembre 2024. Glassnode ha sottolineato che il picco rifletteva un’azione difensiva e non un sentimento rialzista, descrivendolo come "an operational security response, not a change in market conviction."

Bitcoin dormienti per un valore quasi 200 volte superiore all’importo inizialmente rubato si sono mossi sulla rete, indicando spostamenti precauzionali diffusi da parte dei detentori.

Il fattore scatenante della più ampia risposta on-chain è stato il furto del 31 luglio di 594 Bitcoin, valutati all’epoca circa 38 milioni di dollari. In seguito Galaxy Research ha confermato che le perdite totali avevano superato 1,596 Bitcoin, per un valore superiore a 100 milioni di dollari. La finestra di oltre cinque anni tra l’introduzione del bug del firmware nel marzo 2021 e il primo sfruttamento segnalato a metà 2026 evidenzia la difficoltà di individuare vulnerabilità crittografiche sottili in hardware ampiamente utilizzato, anche in una comunità che pone l’accento sulla verifica open source.

Gli aggressori instradano i fondi attraverso i mixer

La società di sicurezza blockchain CertiK ha tracciato il movimento degli asset rubati. Circa 64 Bitcoin, per un valore di 4.17 milioni di dollari, sono stati inviati a Wasabi, un protocollo di mixing per Bitcoin. Separatamente, 200 Ether valutati circa 380,000 dollari sono stati instradati verso Tornado Cash. CertiK ha fornito i dettagli via X:

#CertiKInsight 🚨 Our alert system detected two 200 ETH transactions sent to Tornado Cash linked to the ongoing @COLDCARDwallet attack. The funds were bridged from BTC to ETH address 0x41B7529a411EeA979a8d468bdEBd36b0ad703268 via THORChain before being sent to Tornado Cash. pic.twitter.com/JLazHWIEvo
— CertiK Alert (@CertiKAlert) August 5, 2026

CertiK ha suggerito che alcuni di questi trasferimenti possano essere stati effettuati da aggressori imitatori. Un portavoce di CertiK ha dichiarato: "We think it might be a smaller exploiter. There’s likely a few copycats after the initial exploit."

TRM Labs ha confermato che la maggior parte dei fondi rubati si trova ancora in un piccolo numero di wallet controllati dagli aggressori. Le differenze strutturali tra le varie ondate di attacco indicano che almeno 15 aggressori separati hanno sfruttato la vulnerabilità. La proliferazione di exploit indipendenti a partire da una singola falla mostra come una debolezza crittografica latente possa diventare una minaccia a cascata una volta resa pubblicamente individuabile.

Il managing partner di Dragonfly, Haseeb Qureshi, ha osservato che alcuni modelli di IA avrebbero riscoperto la vulnerabilità sottostante in meno di 20 minuti. Ha suggerito che circa due dollari di rafforzamento basato su IA avrebbero potuto prevenire completamente l’exploit.

Gli esperti di sicurezza avvertono che aggiornare il firmware da solo non è sufficiente per gli utenti interessati. Chiunque abbia creato un wallet su un dispositivo compromesso è invitato a crearne uno nuovo su un dispositivo sicuro e a trasferire immediatamente tutti i fondi.

L’exploit di Coldcard si colloca ora come il terzo più grande hack crypto del 2026 finora.