Le perdite di Bitcoin legate al massiccio exploit dei wallet Coldcard hanno iniziato a rallentare, ma l'ammontare totale di BTC sottratti continua a crescere—e il peggio potrebbe non essere ancora finito.

È l'ultimo aggiornamento di Galaxy Research, la società di ricerca crypto che segue l'exploit fin dalle origini. L'azienda ha dichiarato giovedì che l'exploit di ricreazione dei seed di Coldcard ha finora prosciugato più di 1.778 BTC—circa 112 milioni di dollari—e che la cifra finale sarà probabilmente più alta.

Galaxy ha affermato di avere una «fiducia molto elevata» nel conteggio, che comprende i furti confermati e attribuiti ai proprietari da quando l'attacco è iniziato, il 30 luglio, secondo il suo thread costantemente aggiornato su X.

«Gli attaccanti portano avanti questo attacco almeno dalle prime ore del mattino del 30 luglio 2026, ricreando sistematicamente i seed generati da Coldcard e trasferendo in blocco i fondi on-chain», ha scritto Galaxy Research.

Tra le ondate e le impronte confermate da Galaxy, nessuna mostra attività dopo il 6 agosto. Questo non significa che il metodo abbia smesso di funzionare—significa che i bersagli facili sono ormai esauriti.

The bulk of funds have remained largely unmoved since stolen from victims. Of the at least 1,778 BTC that has been stolen, 1,531 BTC remains in attacker-controlled addresses unmoved. ~246 BTC has been moved by attackers after the theft, with 65% flowing into Coinjoin transactions… pic.twitter.com/OHjJkr1x6D

— Galaxy Research (@glxyresearch) August 14, 2026

Cosa mostra la blockchain

Coldcard, prodotta da Coinkite, azienda con sede a Toronto, è un wallet hardware dedicato esclusivamente al Bitcoin, da tempo apprezzato dagli utenti di autocustodia—un dispositivo commercializzato sulla premessa che le chiavi private siano generate e conservate in sicurezza offline. Un aggiornamento del firmware del 2021 ha silenziosamente dirottato la generazione dei seed di Coldcard dal chip hardware per numeri casuali verso un sostituto software, facendo crollare la robustezza delle chiavi da 128 bit a un minimo di 40. La cosa è rilevante perché il seed è il segreto principale del wallet—la frase di recupero da cui derivano tutte le chiavi private e tutti gli indirizzi—e 128 bit di entropia rappresentano la soglia di sicurezza che gli ingegneri ritengono impossibile da forzare con attacchi brute force; 40 bit non lo sono. Gli attaccanti potevano ricostruire i seed a partire dal numero di serie e dallo stato dell'orologio di un dispositivo, per poi impossessarsi delle monete senza ricorrere a tecniche di phishing o malware—e persino senza accesso fisico ai dispositivi reali.

Secondo la ripartizione di Galaxy, la più grande ondata dimostrata—l'Onda 1—ammonta a 1.082,65 BTC sottratti da 1.195 indirizzi nei primi minuti. All'epoca si trattava di circa 70,5 milioni di dollari in Bitcoin rubati.

Footprint E, il più grande cluster confermato da un singolo proprietario, ha sottratto 209,94 BTC (circa 13,3 milioni di dollari) su 2.148 indirizzi, mentre l'Onda 3 ha preso 208,24 BTC (quasi 13 milioni di dollari) da 1.912 indirizzi.

Sommando tre ondate dimostrate e 41 impronte minori, la società mappa oltre 5.200 indirizzi prosciugati. Al blocco 962.304 (dati del 13 agosto), 1.499,27 BTC—quasi 93,9 milioni di dollari—risultavano ancora intatti nelle mani degli attaccanti.

Among the confirmed, high-confidence waves and footprints of attacker activity, none occurred after August 6. Additional victims continue to report to Galaxy Research (we've spoken to 190+ directly), helping us directly attribute losses and confirm additional footprints, but none… pic.twitter.com/8jEdFdJEog

— Galaxy Research (@glxyresearch) August 14, 2026

Della piccola porzione che Galaxy riesce a tracciare fino a una destinazione finale—174,97 BTC—la maggior parte è confluita in round di privacy coinjoin, transazioni che mescolano le monete di molti partecipanti per nascondere a chi appartengano i fondi, mentre piccole somme hanno raggiunto KuCoin e Jump Crypto. Galaxy ha parlato direttamente con oltre 190 vittime per attribuire le perdite.

«L'attenuarsi delle ondate di attacco è probabilmente dovuto al fatto che gli utenti vulnerabili sono migrati o che la maggior parte dei fondi è già stata prosciugata», ha scritto la società.

Galaxy ha ribadito il proprio consiglio ai detentori: «Se detenete ancora fondi su un wallet Coldcard a firma singola, siete invitati a trasferire i vostri fondi su nuovi indirizzi.» L'avviso riguarda in particolare le configurazioni a firma singola, perché i wallet multifirma richiedono diverse chiavi indipendenti per autorizzare una spesa, quindi un singolo seed compromesso non espone da solo i fondi.

L'episodio ha già spinto verso forme di custodia più sicure circa 15 miliardi di dollari in Bitcoin e ha suscitato l'avvertimento di Ledger, produttore concorrente di wallet hardware, secondo cui la sicurezza dei wallet dovrà adattarsi alla scoperta assistita dall'intelligenza artificiale. Le aziende concorrenti del settore hanno inoltre segnalato un'impennata di phishing che cavalca il panico.

Galaxy continua a tenere in elenco una possibile quarta ondata—638,5 BTC non ancora confermati—che porterebbe il bilancio a 2.417 BTC, oltre 151,3 milioni di dollari ai prezzi attuali. Se questa ondata entrerà a far parte del conteggio confermato e se i 1.531 BTC giacenti negli indirizzi controllati dagli attaccanti resteranno fermi sono i fili aperti da monitorare—e poiché il registro di Bitcoin è pubblico, anche i fondi rubati e non movimentati restano visibili a chiunque ne segua gli indirizzi.