Una vulnerabilità di sicurezza nei portafogli hardware Coldcard ha riacceso il dibattito tra auto-custodia del Bitcoin ed esposizione tramite exchange-traded fund (ETF), dopo che Coinkite, il produttore del dispositivo, ha confermato che una debolezza nella generazione delle frasi di recupero ha permesso agli aggressori di svuotare centinaia di indirizzi Bitcoin.

La vulnerabilità di Coldcard

Come riportato per la prima volta il 31 luglio, Coinkite ha emesso un avviso dopo aver scoperto che alcuni dispositivi Coldcard generavano seed di recupero con entropia insufficiente. La vulnerabilità era particolarmente grave perché il portafoglio hardware stesso non doveva essere compromesso. Se una frase di recupero fosse stata creata con entropia debole, un aggressore avrebbe potuto enumerare un insieme drasticamente ridotto di chiavi possibili fino a trovare il wallet e svuotarlo.

I portafogli hardware dipendono da generatori di numeri pseudo-casuali interni per produrre l'entropia alla base di ogni chiave privata. Quando quell'entropia è debole, la fondazione crittografica crolla indipendentemente da quanto robusta possa essere il resto dell'architettura di sicurezza del dispositivo. Guasti simili dei generatori di numeri casuali (RNG) sono emersi in precedenza nel più ampio ecosistema delle criptovalute, inclusa una vulnerabilità del 2013 nel generatore di numeri casuali sicuri di Android che rendeva vulnerabili i portafogli Bitcoin sui dispositivi colpiti, rendendo questa classe di bug una preoccupazione ricorrente piuttosto che un incidente isolato.

L'avviso di Coinkite copriva inizialmente i vecchi dispositivi Mk2 e Mk3 ma è stato successivamente ampliato. Le seed create sui modelli Mk4, Mk5 e Q prima dei rilasci del firmware corretto erano anch'esse interessate, sebbene l'azienda abbia notato che la debolezza era meno grave sui dispositivi più recenti.

L'aggiornamento del firmware del dispositivo impedisce la generazione di nuove seed deboli ma non può rimediare a quelle già create. Coinkite ha pubblicato linee guida per fermare i trasferimenti in sospeso per gli utenti interessati.

Gli afflussi negli ETF coincidono con l'incidente

I dati di SoSoValue mostrano che gli ETF spot su Bitcoin negli Stati Uniti hanno registrato afflussi netti per quattro sedute di trading consecutive dopo che l'incidente di Coldcard è stato reso pubblico. Tuttavia, non esistono prove che colleghino questi afflussi agli utenti Coldcard spostatisi verso gli ETF. La domanda di ETF è influenzata dal prezzo del Bitcoin, dalle strategie di allocazione istituzionale, dalle condizioni macroeconomiche e da altri fattori del tutto indipendenti dalla vulnerabilità del portafoglio.

I primi ETF spot su Bitcoin negli Stati Uniti sono stati lanciati a gennaio 2024 dopo anni di rifiuti da parte della SEC, creando un nuovo canale istituzionale per l'esposizione al Bitcoin che non esisteva durante i precedenti incidenti legati ai portafogli hardware. La loro rapida adozione ha reso la questione auto-custodia contro ETF più rilevante rispetto agli anni precedenti, quando detenere Bitcoin direttamente o tramite una piattaforma di scambio di criptovalute erano le principali alternative.

Auto-custodia contro custodia tramite ETF

L'incidente sottolinea un compromesso fondamentale nella custodia del Bitcoin. L'auto-custodia garantisce al titolare il controllo diretto sui propri asset ma anche la piena responsabilità di proteggere hardware, software, processo di recupero e chiavi crittografiche. Se una seed viene rubata, esposta o generata in modo errato, nessuna istituzione può annullare la transazione risultante. La blockchain del Bitcoin è progettata per essere immutabile, il che significa che le transazioni sono irreversibili per progettazione — una caratteristica che diventa una passività quando una vulnerabilità come quella di Coldcard porta a trasferimenti non autorizzati.

Un ETF spot su Bitcoin sposta questo onere. L'investitore possiede un titolo in un conto di intermediazione anziché controllare direttamente le chiavi private. Il fondo e i suoi custodi istituzionali gestiscono i Bitcoin sottostanti. La SEC fa notare che i prodotti spot su Bitcoin possono eliminare alcuni dei rischi diretti associati all'uso personale di scambi di criptovalute, portafogli e chiavi crittografiche.

Assicurazione e tutele normative

La custodia tramite ETF comporta protezioni diverse rispetto a un deposito bancario. L'assicurazione FDIC non copre Bitcoin, azioni o quote di ETF. Si applica solo ai depositi bancari ammissibili come conti correnti e di risparmio.

La SIPC fornisce una protezione più limitata a livello di intermediazione. Se le quote di ETF sono detenute tramite un broker membro della SIPC e tale broker fallisce con titoli clienti mancanti, contanti e titoli ammissibili sono protetti fino a 500.000 dollari per cliente, inclusi fino a 250.000 dollari in contanti. La SIPC ripristina le attività di intermediazione mancanti ma non risarcisce gli investitori per le perdite causate dal calo del prezzo del Bitcoin.

L'iShares Bitcoin Trust (IBIT) di BlackRock utilizza custodi istituzionali tra cui Coinbase Custody. BlackRock dichiara che il trust stesso non è coperto dall'assicurazione FDIC o SIPC e che né il trust né il suo sponsor assicurano i propri Bitcoin. Le stesse informative notano che Coinbase mantiene un'assicurazione contro reati commerciali che copre eventi come furto, attacchi informatici e trasferimenti fraudolenti, ma la polizza è condivisa tra tutti i clienti di Coinbase e potrebbe non essere sufficiente a coprire ogni possibile perdita.

I prodotti spot su Bitcoin negli Stati Uniti presentano inoltre una struttura diversa rispetto agli ETF convenzionali. Sono generalmente organizzati come trust su materie prime negoziati in borsa anziché come società di investimento registrate ai sensi dell'Investment Company Act del 1940, il che significa che non ricevono tutte le tutele statutarie che si applicano ai normali fondi comuni di investimento e agli ETF registrati.

L'offerta dei long-term holder diminuisce

Nello stesso periodo, i dati sull'offerta dei long-term holder di Glassnode hanno mostrato che circa 210.000 BTC hanno lasciato la coorte dei long-term holder nella settimana precedente — il calo più ampio da dicembre 2024. L'offerta dei long-term holder si attestava a circa 14,77 milioni di BTC, con l'ultima lettura di Glassnode a 14,7729 milioni.

Il modello di Glassnode opera a livello di entità, utilizzando l'età delle monete attorno a una soglia di 155 giorni per distinguere i comportamenti di detenzione a breve e lungo termine. La metrica non classifica ogni wallet inattivo per esattamente 155 giorni come long-term holder.

Un calo dell'offerta dei long-term holder indica che i Bitcoin più vecchi stanno diventando più liquidi, ma non rivela dove siano andate quelle monete. Potrebbero essere state vendute o trasferite tra portafogli, custodi o strutture di investimento. Non esiste alcuna base per collegare tali movimenti a Coldcard o agli afflussi negli ETF.

La custodia rimane la decisione centrale del Bitcoin

Il fallimento di Coldcard illustra perché la custodia rimane una delle decisioni pratiche più consequenziali per il Bitcoin. L'auto-custodia colloca la sicurezza interamente nelle mani del titolare, mentre il modello ETF dipende da broker, sponsor di fondi e custodi istituzionali — ciascuno con distinti profili di rischio e assicurativi. Per gli utenti che scelgono l'auto-custodia, l'incidente rafforza le migliori pratiche consolidate, come generare seed con fonti di entropia verificate in modo indipendente (ad esempio, lanci di dadi) e migrare i fondi verso un portafoglio appena generato dopo qualsiasi correzione del firmware, anziché presumere che un aggiornamento da solo chiuda la falla.

Metodologia: questo articolo si basa sull'avviso di Coldcard di Coinkite, sui dati dei flussi ETF di SoSoValue, sulle metriche dei long-term holder di Glassnode e su informazioni pubbliche della SEC, FDIC, SIPC e BlackRock.

Disclaimer: questo articolo ha solo scopo informativo e non costituisce consulenza finanziaria, di investimento o di sicurezza. La custodia del Bitcoin e i prodotti ETF comportano rischi diversi, e i dati di mercato passati o attuali non garantiscono risultati futuri.