Coinkite, il produttore della linea di wallet hardware Coldcard, ha pubblicato un avviso di sicurezza il 30 luglio 2026, avvertendo che le seed phrase generate su un Coldcard Mk3 con firmware 4.0.1 (rilasciato a marzo 2021) o qualsiasi versione successiva potrebbero essere vulnerabili. Il difetto persiste fino alla versione 5.0.3, l’ultimo rilascio firmware a supporto del modello Mk3. Coldcard è stato un nome di rilievo tra i produttori di wallet hardware dedicati solo a Bitcoin, e l’avviso riguarda una base di utenti che ha scelto il dispositivo proprio per il suo design air-gapped e per l’attenzione all’autocustodia.

L’avviso segue un sospetto evento on-chain in cui circa 594,48 BTC sono stati spostati da circa 500 indirizzi single-signature in una stretta finestra di tre blocchi. Coinkite non ha confermato alcun collegamento tra il trasferimento e la vulnerabilità divulgata.

Il trasferimento di venerdì mattina

Tra circa le 01:31 e le 01:56 UTC, 594,48 BTC sono stati spostati da circa 500 indirizzi single-signature. Rob Hamilton, CEO di AnchorWatch, ha condotto una prima analisi on-chain dopo la segnalazione iniziale di Atlas 21. Hamilton ha identificato 1.324 unspent transaction outputs (UTXO) trasferiti in 500 transazioni all’interno dei blocchi 960188 e 960191. Circa 562 BTC sono stati successivamente consolidati in un unico indirizzo.

Con un prezzo di Bitcoin vicino a 64.300 dollari, il valore totale spostato era di circa 38,3 milioni di dollari.

La prima valutazione di Hamilton suggeriva che la generazione del wallet avesse subito, a un certo punto, un difetto di entropia. Kevin Loaec di Wizardsardine, tra i primi a lanciare l’allarme pubblicamente, ha ipotizzato un generatore di numeri casuali con bassa entropia, forse all’interno di una libreria software. L’entropia — l’imprevedibilità che determina quanto sia difficile indovinare una seed — è il fondamento della sicurezza di ogni wallet di criptovalute. Quando l’entropia è insufficiente, lo spazio delle seed possibili che un attaccante deve esaminare si riduce da astronomicamente grande a potenzialmente gestibile.

Due elementi indicano un problema nella generazione della seed piuttosto che una compromissione di un singolo exchange o servizio. Innanzitutto, tutti gli indirizzi svuotati erano single-signature. In secondo luogo, molti di quegli indirizzi erano inattivi da anni, con fondi risalenti al periodo 2021-2026, una finestra temporale che corrisponde da vicino all’età delle versioni firmware interessate.

Coinkite non ha confermato alcun collegamento tra il trasferimento e il proprio avviso. Non esistono prove pubbliche definitive che stabiliscano tale nesso.

La portata della vulnerabilità

L’avviso riguarda in modo specifico le seed generate su un dispositivo Mk3 interessato, non tutti i wallet con cui il dispositivo abbia interagito. Per considerare una seed a rischio devono sussistere tre condizioni:

1. Le parole della seed sono state create direttamente sul Coldcard Mk3.
2. Il dispositivo eseguiva il firmware 4.0.1 (marzo 2021) o una versione successiva al momento della creazione.
3. Quella seed controlla ancora Bitcoin o wallet derivati da essa.

La seconda condizione rappresenta una difficoltà pratica per gli utenti. Un Coldcard mostra la versione firmware attualmente installata, non quella in esecuzione quando un wallet è stato creato originariamente. Ciò che conta è la versione attiva nel momento in cui la seed è stata generata, un dettaglio indipendente dalla data di acquisto dell’hardware.

Gli utenti che hanno generato una seed prima di marzo 2021 e non l’hanno mai rigenerata in seguito non rientrano nell’intervallo interessato. Chiunque abbia configurato un wallet dopo quella data, o non riesca a ricostruire la cronologia firmware del proprio dispositivo, dovrebbe presumere di rientrare nel perimetro fino a quando la revisione formale di Coinkite non ne restringerà i parametri.

Una seed generata altrove e poi importata nel Mk3 non ha mai usato il generatore di numeri casuali del dispositivo e quindi non è colpita da questo specifico difetto. Coinkite ha confermato che i modelli Mk4, Q e Mk5 non sono interessati sulla base dell’analisi attuale e raccomanda di usare uno di questi dispositivi più recenti per creare una seed sostitutiva.

Coinkite ha descritto il comunicato come un’analisi iniziale, seguita da una revisione tecnica formale. L’azienda non ha pubblicato una spiegazione del meccanismo di fallimento dell’entropia, né un conteggio dei dispositivi interessati o una stima dei fondi potenzialmente persi. Nel corso degli anni sono emersi difetti nei generatori di numeri casuali in altri progetti di criptovalute, inclusi casi in cui un RNG debole ha permesso di ricostruire chiavi private, motivo per cui l’audit dell’entropia delle seed resta un’area attiva della ricerca sulla sicurezza.

Perché aggiornare solo il firmware non basta

Installare un nuovo firmware modifica il modo in cui vengono create le seed future, ma non ha alcun effetto sulle seed phrase già esistenti. Una seed è la sorgente da cui vengono derivati ogni chiave privata e ogni indirizzo del wallet. Se l’imprevedibilità alla base di quella seed era inferiore al previsto, un attaccante può cercare in uno spazio molto più ristretto di seed possibili fino a trovare quelle che controllano indirizzi con fondi. Le parole di recupero appaiono comunque casuali al proprietario, perché la debolezza risiede nel processo di selezione del dispositivo e non nell’aspetto della frase finale.

Un caso riportato su Reddit illustra chiaramente questo meccanismo. Un utente ha descritto fondi sottratti da un wallet la cui seed era stata generata originariamente su un Mk3 acquistato nel maggio 2021, poi ripristinata su un Mk4 nel gennaio 2026. Il dispositivo più recente, non interessato, ha ereditato le parole originali della seed e, con esse, la vulnerabilità originale. Si tratta di una testimonianza auto-riportata e non prova nulla sul trasferimento più ampio, ma il meccanismo descritto corrisponde a quello a cui fa riferimento l’avviso di Coinkite.

La correzione permanente è una seed che non sia mai stata generata da un dispositivo interessato.

Prima di tutto, verificare il saldo

Alla luce di quanto accaduto venerdì, un utente interessato dovrebbe verificare che i propri fondi siano ancora presenti prima di pianificare una migrazione. Un wallet già svuotato richiede una risposta all’incidente, non un trasferimento accurato.

Migrazione con un secondo dispositivo

Coinkite sottolinea l’importanza di procedere con calma, osservando che una migrazione affrettata può creare un rischio più immediato del difetto stesso.

Generare una nuova seed su un Coldcard non interessato.

Registrare e verificare il backup prima di depositare qualsiasi cosa.

Verificare un indirizzo di ricezione sullo schermo del dispositivo.

Inviare una piccola transazione di test e confermare che il nuovo wallet funzioni.

Spostare i fondi rimanenti solo dopo aver superato tutti questi controlli.

Conservare il vecchio backup fino al completamento e alla conferma della migrazione.

Se il Mk3 è l’unico dispositivo disponibile

Coinkite propone due percorsi, entrambi considerati misure provvisorie e non soluzioni complete.

Opzione 1: passphrase BIP-39

Il primo approccio consiste nell’applicare una passphrase BIP-39, cioè un segreto separato aggiunto alle parole di recupero, distinto dal PIN del Coldcard. Il PIN protegge l’accesso al dispositivo ma non modifica le chiavi sottostanti, quindi non offre protezione in questo scenario. La passphrase BIP-39, talvolta chiamata “25ª parola”, è un livello opzionale standardizzato nella maggior parte dei wallet hardware e software che supportano il formato di recupero BIP-39.

Gli utenti dovrebbero prima leggere le istruzioni ufficiali sulla passphrase, quindi selezionare Passphrase sul Mk3 e inserire una frase lunga, casuale e unica. Non deve mai essere una citazione, un nome, una frase comune o una password riutilizzata, e non deve mai essere digitata in un computer, telefono o sito web. La passphrase va salvata con precisione assoluta e conservata separatamente dalle parole della seed, perché perderla significa perdere l’accesso ai fondi.

Dopo aver inserito la passphrase, selezionare APPLY e registrare l’impronta digitale a otto cifre del nuovo wallet. Spegnere e riaccendere il dispositivo, reinserire la passphrase e confermare che compaia la stessa impronta. Esportare il wallet protetto da passphrase in un software coordinatore, verificarne l’indirizzo di ricezione sullo schermo del Mk3, quindi riavviare e accedere senza passphrase per raggiungere il wallet originale. Inviare una piccola transazione di prova, reinserire la passphrase, confermare l’arrivo della prova e solo allora trasferire il resto.

Ogni passphrase genera un wallet valido, anche se contiene un errore di battitura. La verifica dell’impronta prima di ogni invio è ciò che consente di individuare questi errori.

Opzione 2: generazione della seed basata sui dadi

Il secondo percorso aggira completamente il generatore di numeri casuali del dispositivo. Su un Mk3 vuoto con firmware 4.1.9, selezionando Import Existing > Dice Rolls e inserendo almeno 99 lanci indipendenti di un dado equo a sei facce, si crea una seed effettuando direttamente l’hash della sequenza di lanci. Coinkite specifica che il normale flusso New Wallet non esegue questa operazione: deve trattarsi del percorso con i dadi.

Si tratta di una procedura avanzata, definita tale da Coinkite. La documentazione sui lanci di dado descrive il metodo in modo completo.

Quando si usano entrambe le seed sullo stesso dispositivo, è necessario alternarle con attenzione: verificare ciascun backup scritto e ciascuna impronta prima di cancellare qualsiasi cosa, verificare un indirizzo di ricezione per il wallet dei dadi, ripristinare e verificare il wallet originale e inviare una transazione di prova prima di spostare il saldo.

La sequenza dei lanci è materiale crittografico. Non deve mai essere fotografata, salvata in formato digitale o inserita in un computer connesso a una rete.

Una passphrase compra tempo, non sicurezza permanente

L’analisi iniziale di Coinkite ritiene che i fondi protetti da una forte passphrase BIP-39 siano esposti a rischio minimo da questo problema, perché la passphrase deriva un wallet separato sia dalla seed originale sia dal segreto aggiuntivo. La ricerca automatizzata di wallet costruiti direttamente da una seed di base indebolita non raggiungerà i wallet protetti da passphrase.

Ciò è coerente con quanto emerso dal trasferimento di venerdì: ogni indirizzo svuotato era single-signature e ciascuno conteneva più di 0,15 BTC.

Il difetto di entropia sottostante rimane comunque presente. Quelle parole di recupero sono ancora più deboli del previsto, e tutto dipende dalla forza e dalla segretezza di una sola frase aggiuntiva. La soluzione definitiva resta una nuova seed generata su un dispositivo non interessato.

Cosa significa per gli utenti di wallet hardware

L’indagine di Coinkite è in corso e la portata potrebbe cambiare quando verrà pubblicata la revisione tecnica formale. L’azienda invita i proprietari a seguire i propri aggiornamenti ufficiali piuttosto che screenshot, messaggi inoltrati o qualsiasi servizio di terze parti che dichiari di verificare se una seed phrase è vulnerabile.

Quest’ultimo punto merita particolare enfasi. Un avviso di questa portata tende ad attirare campagne di phishing rivolte proprio agli utenti più propensi ad agire rapidamente. Nessuno strumento legittimo chiede le seed words, e nessun modulo di assistenza, sito web o servizio di recupero dovrebbe mai riceverle. L’ecosistema più ampio dei wallet hardware — inclusi Ledger, Trezor, BitBox e altri — ribadisce costantemente lo stesso principio: le seed phrase non devono mai essere inserite in un dispositivo connesso a internet, indipendentemente dal produttore del wallet.

La lezione è più circoscritta di una conclusione generale secondo cui i wallet hardware abbiano fallito. Un dispositivo offline mantiene le chiavi private lontane dal malware, e in questo caso lo ha fatto. Ciò che non può fare è proteggere una seed che era già prevedibile nel momento in cui è stata creata — e la generazione delle chiavi è il punto da cui parte l’intero modello di sicurezza. Per gli utenti che valutano se la propria configurazione sia a rischio, la domanda pratica non è quale dispositivo detenga attualmente la seed, ma dove e quando quella seed è stata creata per la prima volta.

Disclaimer: questo articolo ha finalità esclusivamente informative e di sensibilizzazione alla sicurezza. Seguire le istruzioni ufficiali di Coinkite e non rivelare mai a nessuno seed words, chiavi private, backup del wallet o passphrase BIP-39.

Metodologia: le versioni firmware, i modelli interessati, i passaggi di migrazione, la procedura con passphrase e l’alternativa basata solo sui dadi provengono dall’avviso di sicurezza di Coinkite del 30 luglio 2026 e dalla documentazione collegata. I dati sul trasferimento derivano dalla preliminare analisi on-chain del CEO di AnchorWatch Rob Hamilton, a seguito della segnalazione di Atlas 21. Coinkite non ha confermato un collegamento tra il trasferimento e il problema di generazione della seed.