Un massiccio exploit del portafoglio hardware Coldcard iniziato il 30 luglio ha causato il furto di circa 130 milioni di dollari in Bitcoin, innescando contemporaneamente una delle più grandi migrazioni di self-custody nella storia della rete, con 233.000 BTC—del valore di circa 15 miliardi di dollari ai prezzi attuali—trasferiti da portafogli di long-term holder verso configurazioni più sicure.

La violazione ha preso di mira i portafogli hardware Coldcard, dispositivi fisici prodotti dall'azienda canadese Coinkite che conservano le chiavi private interamente offline. Coldcard è stato ampiamente adottato tra gli utenti di self-custody di Bitcoin specificamente per il suo design air-gapped, in cui le transazioni vengono firmate su un dispositivo che non si connette mai direttamente a internet—un modello di sicurezza che rende la compromissione delle chiavi a livello di firmware particolarmente significativa per la community che vi faceva affidamento. Un bug del firmware introdotto a marzo 2021 aveva deviato la generazione delle chiavi attraverso un generatore di numeri casuali software debole invece del chip hardware dedicato del dispositivo. Ciò ha reso le chiavi private—i codici segreti che dimostrano la proprietà dei Bitcoin e autorizzano le transazioni—indovinabili, con la sicurezza che collassava da 128 bit a circa 40 bit. A 40 bit, lo spazio delle chiavi è sufficientemente piccolo da consentire a hardware consumer moderno di effettuare brute-force in tempi praticabili—una classe di vulnerabilità che ha colpito in passato i sistemi di criptovalute, in particolare in un difetto dei portafogli Android del 2013 che allo stesso modo produceva chiavi prevedibili. La vulnerabilità è stata descritta come l'equivalente crittografico di una cassaforte di banca protetta da un PIN a quattro cifre.

Galaxy Research ha tracciato le conseguenze attraverso tre ondate di attacco confermate, con perdite che hanno raggiunto circa 1.596 BTC in oltre 5.200 indirizzi. Il CEO di Casa Nick Neuman, citando i dati onchain dell'analista James Check di Checkonchain, ha riportato una cifra più alta di circa 2.100 BTC rubati. Poiché l'attaccante doveva compromettere i singoli indirizzi anziché violare un unico pool di custodia, il prosciugamento è avvenuto in modo incrementale—dando alla rete nel suo complesso il tempo di reagire.

Neuman ha condiviso il dettaglio onchain in un post su X:

The onchain metrics around the Coldcard incident reinforce how important self custody is to the resilience of Bitcoin as an asset class.

In the couple of days around the hack: - 2.1k BTC was stolen - 22k moved to exchanges - 233k moved out of long term holder wallets in on… pic.twitter.com/iewr5RvG9c

— Nick Neuman (@Nneuman) August 9, 2026

Secondo i dati Checkonchain citati da Neuman, 22.000 BTC sono stati trasferiti verso exchange e 233.000 BTC sono usciti dai portafogli di long-term holder—definiti come indirizzi inattivi da almeno 155 giorni, un gruppo che gli analisti monitorano come proxy di investitori seri e a lungo termine. Tale cifra rappresenta oltre 100 volte l'ammontare che gli attaccanti sono riusciti a rubare.

Checkonchain ha pubblicato anche una propria analisi dello spostamento dell'offerta dei long-term holder:

The Coldcard incident resulted in Long-Term Holder supply declining by ~233k BTC, a 1.38% fall from its recent all-time high.

With such a meaningful event, an important question is whether the emergency migration of coins has skewed the onchain metrics we use to analyse Bitcoin.… pic.twitter.com/FPVLUkUlqU

— _Checkonchain (@_checkonchain) August 7, 2026

I dati della società di analisi Glassnode hanno confermato l'entità: l'offerta dei long-term holder è scesa da quasi 15 milioni di BTC a circa 14,7 milioni di BTC—il più grande calo settimanale da dicembre 2024. Questo è avvenuto mentre Bitcoin veniva scambiato a circa il 50% sotto il suo massimo storico di 126.000 dollari, raggiunto a ottobre 2025.

Casa ha confermato attraverso conversazioni reali con i clienti che la migrazione non si è limitata ai possessori di Coldcard. Una parte dei 233.000 BTC proveniva da utenti di Ledger e Trezor—marchi di portafogli hardware completamente separati—che hanno usato l'incidente come catalizzatore per passare a configurazioni multisig. Le configurazioni multisig richiedono multiple chiavi indipendenti per approvare qualsiasi transazione, il che significa che nessun singolo dispositivo compromesso può prosciugare un intero portafoglio. Altri fondi provenivano da utenti Coldcard che migravano direttamente verso nuovi seed sicuri.

"Quindi, da qualche parte tra ~10x-100x l'ammontare di bitcoin rubato è stato trasferito al sicuro mentre le persone suonavano l'allarme," ha scritto Neuman.

Neuman ha sostenuto che l'incidente ha dimostrato un vantaggio strutturale della self-custody rispetto alla custodia centralizzata. Quando un exchange centralizzato viene violato, tutti i fondi sono esposti contemporaneamente—un pattern osservato nei principali collassi di exchange che hanno collettivamente portato a miliardi di dollari di perdite nella storia di Bitcoin. In questo caso, la necessità dell'attaccante di violare singoli indirizzi ha creato una finestra di tempo in cui il resto della rete ha potuto reagire.

"Questo è un enorme cartello al neon lampeggiante che mostra la resilienza che la self-custody aggiunge alla rete," ha scritto Neuman. "Se tutti quei BTC fossero stati detenuti da un custode e il custode fosse stato hackerato, quei numeri si sarebbero invertiti."

Coinkite ha invitato chiunque abbia generato una frase seed su versioni del firmware dalla 4.0.1 alla 4.1.9—coprendo il periodo da marzo 2021 a luglio 2026—a considerare quei portafogli come compromessi e migrare immediatamente verso un nuovo seed. La finestra di oltre cinque anni significa che qualsiasi chiave generata durante quell'intero periodo è potenzialmente interessata, ampliando significativamente l'universo dei portafogli a rischio oltre quelli sfruttati attivamente nelle ondate di attacco di luglio.