Una vulnerabilità negli hardware wallet Coldcard ha ora persistito attraverso quattro distinte ondate di sfruttamento, causando lo svuotamento di wallet Bitcoin inattivi. I detentori a lungo termine che non hanno ancora migrato i propri fondi rimangono esposti ad attacchi continui.

Come già riportato da Cryptopolitan, la violazione iniziale che ha colpito circa 500 wallet non è stato un incidente isolato, e le perdite cumulative hanno da allora superato i 70 milioni di dollari.

Al 3 agosto, gli utenti di diverse versioni dei wallet Coldcard prodotti da Coinkite rimangono a rischio. L'unica mitigazione confermata consiste nel trasferire tutti i fondi verso wallet di nuova derivazione e generati in modo sicuro il più rapidamente possibile. Poiché le transazioni Bitcoin sono irreversibili una volta confermate on-chain, eventuali fondi prelevati dall'attaccante sono quasi certamente irrecuperabili attraverso i canali normali.

I dispositivi Coldcard sono stati storicamente popolari tra i massimalisti Bitcoin ed erano ampiamente raccomandati per il cold storage. Tuttavia, recenti dimostrazioni da parte di hacker white hat hanno mostrato che gli indirizzi vulnerabili possono essere identificati utilizzando solo pochi minuti di calcolo potenziato dall'IA.

Prima della quarta ondata, i dati di Galaxy Research indicavano che le perdite stimate comprendevano 1.196 indirizzi per un totale di 1.086,65 BTC.

La Quarta Ondata Mostra un'Aggressività Crescente

I ricercatori on-chain che monitorano gli indirizzi associati a Coldcard e le transazioni BTC hanno confermato l'avvio di una quarta ondata di exploit.

Al 3 agosto, l'attaccante continuava a generare nuovi wallet di destinazione. A seguito di ogni completo prelievo, gli indirizzi rimanevano inattivi per diverse ore prima che il gruppo successivo venisse preso di mira.

Secondo Alex Thorn di Firmwide Research, la quarta ondata probabilmente include tentativi di attacco contro wallet multisig, un allontanamento dal modello osservato nelle prime tre ondate. Le configurazioni multisig richiedono molteplici chiavi private per autorizzare una transazione e sono generalmente considerate più resilienti rispetto alle configurazioni a chiave singola, rendendo questa escalation un cambiamento notevole nelle capacità dell'attaccante. Si stima che 857 indirizzi siano stati presi di mira in questa ondata, con perdite di circa 486,11 BTC.

L'attaccante ha distribuito molteplici wallet di destinazione, utilizzando indirizzi di nuova generazione per prelevare sistematicamente i fondi degli utenti Coldcard prima di consolidare i proventi in wallet più grandi.

Sono emersi resoconti di perdite da parte di molteplici influencer e commentatori della community delle criptovalute, inclusi post su X e ulteriori resoconti.

Una sfida centrale con i dispositivi Coldcard è il loro tipico caso d'uso come soluzioni di cold storage, che li rende meno accessibili per trasferimenti rapidi di fondi e aggiornamenti di sicurezza. Alcuni utenti avevano persino inciso le proprie chiavi private su placche metalliche per garantire la durabilità fisica, ma questa misura si è rivelata inefficace contro l'exploit.

L'attaccante sembra affidarsi a processi computazionalmente intensivi per esporre gruppi successivi di wallet vulnerabili. Sebbene questo approccio possa rallentare il ritmo dei nuovi prelievi di indirizzi, la vulnerabilità sottostante persiste e ulteriori ondate oltre la quarta rimangono possibili.

Implicazioni Più Ampie per l'Autogestione dei Fondi Bitcoin

Per anni, la narrazione dominante su Bitcoin ha posizionato l'autogestione dei fondi come lo standard di riferimento per la sicurezza degli asset. Gli attacchi agli exchange, il congelamento dei conti e le preoccupazioni sulla privacy sono stati gli argomenti principali che hanno spinto gli utenti a trasferire le proprie criptovalute fuori dalle piattaforme centralizzate.

Sebbene Bitcoin sia andato perso in passato a causa di wallet compromessi, un evento di sfruttamento di massa legato a uno specifico dispositivo hardware rappresenta uno sviluppo senza precedenti. Gli hardware wallet di produttori come Ledger e Trezor non hanno riportato failure sistemiche di entropia paragonabili, sottolineando come la vulnerabilità di Coldcard derivi da modifiche al codice specifiche all'implementazione piuttosto che da un difetto intrinco nei principi del cold storage.

Un'ulteriore analisi del codice sorgente di Coldcard ha rivelato che la piattaforma aveva deliberatamente modificato circa 2.500 righe di codice con una documentazione minima, introducendo un'entropia debole nel processo di creazione dei wallet, come notato dal sostenitore Bitcoin @hodlonaut su X. In termini crittografici, l'entropia si riferisce alla casualità utilizzata per generare le chiavi private; quando l'entropia è debole o prevedibile, le chiavi risultanti possono essere riprodotte da un attaccante con risorse computazionali sufficienti.

Le segnalazioni indicano che una funzione di entropia più robusta è stata disattivata per garantire che il codice venisse eseguito senza problemi, esponendo potenzialmente migliaia di wallet alla scoperta da parte di avversari.

L'incidente di Coldcard ha inoltre aumentato la vigilanza attorno ai seed debolmente derivati, che ora possono essere identificati utilizzando risorse computazionali a noleggio. Jameson Lopp ha ricordato su X che altri wallet ampiamente utilizzati avevano in precedenza divulgato difetti legati all'entropia e rilasciato patch prima di qualsiasi sfruttamento. Il contrasto è istruttivo: la divulgazione trasparente e la correzione prima dello sfruttamento rappresentano la norma del settore, e il caso Coldcard illustra le conseguenze quando una vulnerabilità di questa natura rimane senza patch. Ciononostante, gli indirizzi debolmente derivati nel cold storage rimangono un bersaglio pratico per attacchi assistiti dall'IA.