Una nuova analisi delle segnalazioni di furto di Bitcoin legata alla violazione del portafoglio hardware Coldcard rivela che i fondi rubati provenivano in maggioranza schiacciante da portafogli a lungo inattivi, con le vittime che segnalano una perdita mediana superiore a un intero Bitcoin.

I dati pubblicati su X da Alex Thorn di Galaxy Research hanno esaminato 250 segnalazioni di vittime. I risultati hanno mostrato che il tipico Bitcoin rubato era rimasto intoccato per circa 3,5 anni e che l'88% dei fondi sottratti aveva almeno un anno di vita — un pattern coerente con il profilo degli holder di lungo termine che avevano acquistato portafogli hardware specificamente per il cold storage e raramente avevano toccato i propri fondi.

In base all'indirizzo, le perdite variavano da una mediana di 0,014 Bitcoin a una media di 0,212 Bitcoin. Le singole vittime, tuttavia, hanno segnalato una perdita mediana di 1,022 Bitcoin e una media di 4,04 Bitcoin — con un holder che ha perso fino a 58,97 Bitcoin.

Gli hacker hanno iniziato prelevando oltre 35 milioni di dollari in Bitcoin dai portafogli giovedì della scorsa settimana. Coinkite, produttore di Coldcard, ha confermato che un bug del firmware nei dispositivi Coldcard Mk3 — originato con la versione 4.0.1 rilasciata a marzo 2021 — ha causato il fallback della generazione del seed verso un debole generatore di numeri pseudocasuali software invece del generatore di numeri casuali reali basato su hardware. Questa vulnerabilità ha di fatto consentito agli attaccanti di indovinare le frasi seed degli utenti, le chiavi di recupero che conferiscono il pieno controllo su un portafoglio Bitcoin.

L'origine della vulnerabilità risalente a marzo 2021 significa che i dispositivi interessati potrebbero aver generato seed insicuri per oltre tre anni attraverso molteplici rilasci di firmware. Il furto è proseguito per tutto il fine settimana mentre Coinkite e altri membri della community Bitcoin invitavano gli utenti di Coldcard a trasferire immediatamente i propri fondi verso alternative sicure.

Galaxy Research ha dichiarato venerdì che sono stati confermati 111 milioni di dollari rubati, sebbene la cifra possa aumentare significativamente man mano che le indagini proseguono.

"Abbiamo molti altri Bitcoin che stiamo verificando per conferma — riteniamo che le perdite totali supereranno probabilmente i 130 milioni di dollari", ha scritto l'azienda su X (https://x.com/glxyresearch/status/2085748513015488758).

Dopo l'attacco, gli investitori cauti hanno trasferito i propri Bitcoin verso altre soluzioni di archiviazione, inclusi gli exchange di criptovalute — un'inversione di tendenza significativa per utenti che avevano adottato i portafogli hardware specificamente per evitare la custodia di terze parti.

Coinkite ha dichiarato in una comunicazione questa settimana che il bug del software "è passato inosservato silenziosamente" e che "il suo potenziale impatto è cresciuto a ogni rilascio" dei suoi prodotti. A pochi giorni di distanza dal primo attacco, l'azienda ha invitato tutti gli investitori ad aggiornare il firmware o trasferire i propri fondi fuori dal portafoglio hardware interessato.

Fonte: Bitcoin Magazine di Mathew Di Salvo.