I produttori di hardware wallet Trezor e Foundation hanno emesso avvisi su un aumento dei tentativi di phishing che sfruttano la vulnerabilità del firmware di Coldcard, mentre i truffatori cercano le frasi di recupero degli utenti e diffondono download malevoli. Le campagne evidenziano un rischio più ampio per gli utenti che scelgono la self-custody: poiché gli hardware wallet sono progettati in modo che gli individui controllino le proprie chiavi private, chiunque ottenga la frase di recupero di un wallet composta da 12 o 24 parole può spostare i fondi senza avere il dispositivo fisico.

Trezor ha riferito di stare già osservando un aumento dei tentativi di phishing dopo la divulgazione dell’exploit di Coldcard, consigliando agli utenti di inserire i backup del wallet solo sul dispositivo stesso e ribadendo che il proprio hardware non è interessato dalla vulnerabilità. Foundation ha dichiarato di essere stata informata di email che impersonano l’azienda e indirizzano i destinatari verso siti falsi e download malevoli, sottolineando che non chiederà mai una frase di recupero né istruirà gli utenti a installare software per mettere in sicurezza un wallet.

La società di sicurezza Proofpoint ha documentato lunedì una campagna di phishing che prende di mira gli utenti di Coldcard. Le email inviate da un indirizzo Coldcard contraffatto invitano i destinatari a completare un "coordinated hardware audit", tema preso direttamente dall’incidente di sicurezza stesso, e rimandano a un sito Coldcard clonato con un pulsante "Start Hardware Audit".

A COLDCARD hardware wallet vulnerability is being exploited by threat actors. The reported firmware flaw has led to tens of millions worth of Bitcoin stolen. We've observed social engineering w/ "hardware audit" themes impersonating #COLDCARD in email-based phishing campaigns. pic.twitter.com/1KSfZW3H2N

— Threat Insight (@threatinsight), August 3, 2026

Facendo clic sul pulsante viene scaricato un file batch ospitato su GitHub, che installa ScreenConnect, uno strumento legittimo di accesso remoto. Proofpoint ha affermato che ciò offre agli attaccanti una via per sottrarre dati e fondi, oltre alla possibilità di distribuire malware successivi come ransomware.

Il sito falso ospita anche una finestra di chat del servizio clienti presidiata da una persona reale anziché da un bot automatizzato, secondo Proofpoint. Il rappresentante umano guida le vittime nell’installazione passo dopo passo. Proofpoint ha valutato la campagna come un’esca di social engineering efficace perché "preys on the fear and concern" che gli utenti ora hanno riguardo alla sicurezza delle proprie criptovalute.

L’exploit dietro l’esca

L’exploit di Coldcard deriva da una build del firmware di marzo 2021 che generava i seed del wallet usando un fallback software anziché il generatore hardware di numeri casuali del dispositivo, rendendo prevedibili e quindi indovinabili le chiavi private. Coldcard, prodotto da Coinkite, è un hardware wallet solo Bitcoin molto apprezzato dagli sostenitori della self-custody per il suo design air-gapped e il firmware open source.

Galaxy Research ha confermato tre ondate di furti dal 30 luglio e stima perdite ad alta confidenza pari a 1,596 BTC, oltre $100 million. Includendo una quarta ondata che la società sospetta ma non ha ancora verificato con le vittime, il totale potrebbe arrivare a $130 million.

Alex Thorn, Head of Research di Galaxy Research, ha affermato martedì che almeno 15 attaccanti distinti stanno ora sfruttando la vulnerabilità, osservando che tutte le ondate tranne la prima sono state identificate tramite le segnalazioni delle vittime. Coinkite, il produttore di Coldcard, ha rilasciato un firmware corretto e ha consigliato agli utenti colpiti di trasferire immediatamente i fondi su seed appena generati.

Un copione già noto

Le campagne di phishing hanno impiegato una varietà di metodi per colpire i possessori di hardware wallet negli ultimi mesi. A febbraio, gli utenti di Trezor e Ledger sono stati presi di mira da una campagna postale che impersonava entrambe le aziende, completa di ologrammi e firme dirigenziali falsificate, costruita attorno alla stessa scadenza inventata. Ad aprile, una falsa applicazione Ledger ha sottratto milioni ai detentori, mentre una campagna di marzo ha sfruttato falsi issue su GitHub per attirare gli sviluppatori su un sito contraffatto. Il modello mostra come gli attaccanti sfruttino sistematicamente la paura dopo le divulgazioni di sicurezza, sincronizzando le esche con i momenti in cui gli utenti sono più propensi ad agire con urgenza.

Galaxy Research ha affermato che l’exploit di Coldcard è ancora in corso e ha invitato i detentori a spostare i fondi su un nuovo seed o su un custode, offrendo all’esca di phishing associata una potenziale lunga durata per tutto il tempo in cui la vulnerabilità continuerà a essere sfruttata.