Il furto di Bitcoin dai portafogli hardware Coldcard compromessi rimane una minaccia attiva e crescente, con Galaxy Research che sta monitorando circa 88,6 milioni di dollari in fondi rubati attraverso 4.585 indirizzi in tre ondate separate.

Sabato, Galaxy Research ha annunciato di aver identificato una terza ondata di furti in cui sono stati prosciugati 207,73 BTC, portando il totale osservato a circa 1.367 BTC, pari a circa 88,6 milioni di dollari, distribuiti su 4.585 indirizzi. L'azienda ha definito l'exploit in corso e ha invitato chiunque detenga fondi a firma singola su un dispositivo Coldcard a trasferirli immediatamente.

Galaxy ha dichiarato di aver segnalato circa 600 indirizzi di presunti attaccanti agli investigatori federali, alle società di conformità e agli investigatori informatici inter-settoriali. L'azienda ha ringraziato le vittime che hanno condiviso i dettagli delle loro transazioni per aver aiutato a mappare i modelli on-chain utilizzati per tracciare i fondi rubati.

"Continuo a indagare e ad aggiungere nuovi indirizzi di vittime e attaccanti di Coldcard al nostro database di indagine", ha affermato Alex Thorn, head of research di Galaxy, in un post su X. "L'attacco è in corso: sposta immediatamente i tuoi fondi dagli indirizzi generati da Coldcard se non lo hai ancora fatto".

i continue to investigate and add new Coldcard victim and attacker addresses to our investigation database tonight

THE ATTACK IS ONGOING -- move your funds off Coldcard-generated addresses immediately if you have not done so. i will provide additional updates on estimated…

— Alex Thorn (@intangiblecoins) August 2, 2026

La vulnerabilità, come riportato in precedenza da Decrypt, ha origine da un errore di compilazione del firmware di marzo 2021 sui dispositivi prodotti da Coinkite. Il difetto ha causato la generazione di frasi seed con un livello di casualità troppo basso, rendendo le chiavi private prevedibili. Poiché un'adeguata entropia nella generazione del seed è fondamentale per tutta la sicurezza delle criptovalute, la casualità compromessa ha minato la garanzia crittografica di base che i portafogli hardware sono progettati per fornire, anche per i dispositivi air-gapped che non sono mai stati collegati a Internet.

Thorn ha scritto che i prosciugamenti dei wallet sembrano deliberati e programmatici, molto probabilmente orchestrati con l'assistenza di un modello linguistico di grandi dimensioni (LLM). Ha messo in guardia dal fatto che ogni indirizzo Coldcard a firma singola creato dopo l'aggiornamento del firmware del 2021 alla fine verrà prosciugato, descrivendolo come solo una questione di tempo.

Thorn ha anche notato che le monete rubate erano rimaste intatte per una media di 3,18 anni prima di essere prelevate, evidenziando che le vittime erano in gran parte detentori a lungo termine. Il divario pluriennale tra l'introduzione del firmware e l'attuale sfruttamento aiuta a spiegare perché gli indirizzi si sono accumulati in un arco di tempo così ampio prima di essere presi di mira sistematicamente. I fondi delle tre ondate documentate rimangono parcheggiati negli indirizzi degli attaccanti e non sono ancora stati spostati.

Le conseguenze hanno innescato una risposta ampia e allarmata da parte degli utenti colpiti, con esperti di sicurezza che invitano alla cautela durante il trasferimento di fondi verso nuovi indirizzi. Molti utenti si affrettano a spostare Bitcoin dall'autocustodia verso scambi di criptovalute centralizzati come Coinbase o Binance, o verso indirizzi appena generati, un'inversione del noto principio del settore "non sono le tue chiavi, non sono le tue monete".

Per alcuni utenti, gli avvertimenti sono arrivati troppo tardi. L'allenatore canadese Jonathan Goodman ha detto in un post su X che 18,25 BTC, del valore di circa 1,6 milioni di dollari canadesi, sono stati prelevati dai suoi wallet in un arco di sette minuti il 29 luglio, nonostante le sue chiavi fossero conservate in una cassetta di sicurezza che non era mai stata collegata a Internet.

$1.6 million dollars in Bitcoin was drained from my account on July 29th in the Cold Card wallet hack.

My Bitcoin was in cold storage. My keys were on a ColdCard device kept in a safety deposit box that had never been connected to the internet.

This part's nerdy, but here's…

— Jonathan Goodman 🇨🇦 (@itscoachgoodman) August 1, 2026

"Forse la parte più difficile di tutto questo è che ho fatto tutto correttamente", ha scritto Goodman. Ha aggiunto che sta presentando denunce alla polizia e all'Ontario Securities Commission.