Una vulnerabilità di sicurezza nel Coldcard Wallet è stata collegata a uno dei maggiori furti di Bitcoin da hardware wallet degli ultimi tempi. Più di 1.082 Bitcoin, per un valore di quasi 70 milioni di dollari, sono stati sottratti da oltre 1.100 wallet prima che il produttore Coinkite rendesse pubblica la vulnerabilità. Gli hardware wallet come Coldcard sono ampiamente considerati lo standard di riferimento per la custodia autonoma degli asset digitali perché conservano le chiavi private offline, isolate dagli attacchi via internet — rendendo una falla di questa portata particolarmente rilevante per il più ampio panorama della sicurezza nelle criptovalute.

Secondo i risultati della ricerca, l’attaccante non ha compromesso direttamente i dispositivi. Invece, un bug nel software del wallet Coldcard ha consentito la generazione offline delle chiavi private, garantendo all’attaccante l’accesso ai wallet interessati.

La falla del Coldcard Wallet ha abilitato il recupero delle chiavi

Galaxy Research ha riferito che l’attaccante ha svuotato 1.196 wallet Bitcoin tra le 01:10 UTC e le 01:51 UTC del 30 luglio, sottraendo circa 1.082,65 BTC in una finestra di 41 minuti.

Il furto è avvenuto circa 30 ore prima che Coinkite emettesse il proprio avviso di sicurezza, informando gli utenti che i loro Coldcard Wallet potevano essere compromessi a causa di vulnerabilità in alcune versioni del firmware. Gli esperti ritengono che l’attaccante abbia preso di mira wallet creati con dispositivi Coldcard Mk3 che eseguivano le versioni firmware dalla 4.0.1 alla 5.0.3, rilasciate nel marzo 2021.

Il rapporto di Galaxy Research ha osservato che ogni transazione è stata effettuata con la stessa commissione di 30 sat/vB e senza alcun output di resto. Una simile uniformità nelle transazioni suggerisce fortemente che l’attaccante fosse già in possesso delle chiavi private e stesse semplicemente automatizzando i prelievi, anziché colpire singoli utenti.

L’origine della vulnerabilità e l’avviso ampliato

I ricercatori di sicurezza hanno ricondotto la vulnerabilità a un aggiornamento firmware rilasciato nel 2021. Gli hardware wallet Coldcard sono progettati per utilizzare un generatore di numeri casuali hardware nella creazione delle recovery phrase, rendendo le chiavi estremamente difficili da prevedere.

Tuttavia, i ricercatori di Block hanno dimostrato che un errore software impediva il corretto funzionamento di questa funzionalità hardware. Di conseguenza, i wallet ricorrevano a un generatore di numeri casuali basato su software che si affidava a input prevedibili, tra cui il numero di serie del dispositivo e il suo orologio interno. I guasti dei generatori di numeri casuali sono storicamente tra le classi di vulnerabilità più dannose nel settore delle criptovalute, con episodi come il bug Android Secure Random del 2013 che hanno reso vulnerabili al furto delle chiavi i wallet Bitcoin sui dispositivi interessati.

Questa falla ha ridotto l’entropia delle recovery seed da 128 bit a circa 40 bit. Secondo i ricercatori, questa riduzione ha reso possibili attacchi brute force su larga scala con le risorse di calcolo moderne.

Coinkite ha successivamente ampliato il proprio avviso per includere alcune versioni firmware dei modelli Mk4, Mk5 e Coldcard Q, pur sottolineando che le revisioni hardware più recenti attenuano in modo significativo il rischio.

— nvk (@nvk) July 31, 2026

Gli utenti sono invitati a spostare immediatamente i fondi

I Bitcoin sottratti sono stati successivamente consolidati in pochi account. È stato osservato che uno di questi account contiene più di 562 Bitcoin, mentre altri detengono circa 398, 89 e 32. I fondi non sono stati spostati da quando sono stati consolidati.

Coinkite raccomanda a chiunque abbia creato recovery phrase tramite il firmware compromesso del Coldcard Wallet di passare immediatamente a un nuovo wallet con l’ultima versione firmware. L’azienda ha inoltre sottolineato che chi aveva attivato una passphrase BIP-39 aggiuntiva può considerarsi al sicuro, poiché la passphrase fornisce un ulteriore livello di protezione oltre alla recovery seed stessa. I ricercatori hanno anche affermato che altri wallet vulnerabili possono essere sfruttati.

Anche da leggere | Solana guida la resistenza quantistica del 2026 tramite Alpenglow

Questo articolo contiene analisi di mercato e previsioni di prezzo. Non si tratta di garanzie. I mercati crypto sono volatili. Fare sempre le proprie ricerche. Non è consulenza finanziaria .