Gli aggressori hanno sottratto circa 1.367 Bitcoin dai wallet hardware Coldcard, per un valore stimato di circa 85 milioni di USD. La causa principale è una vulnerabilità nel modo in cui i dispositivi Coldcard generano le chiavi crittografiche, un duro colpo per il concetto di self-custody.

I wallet hardware sono dispositivi fisici che creano e conservano interamente offline le chiavi private di un saldo in criptovaluta. La chiave non lascia mai il dispositivo, neppure quando si autorizza una transazione. Questo approccio funziona indipendentemente da banche o exchange ed è ampiamente considerato il metodo di conservazione più sicuro disponibile. Coldcard, prodotto dalla società canadese Coinkite, è uno dei wallet hardware più noti costruiti esclusivamente per Bitcoin ed è stato ampiamente raccomandato nelle comunità orientate alla self-custody e alla privacy. Tuttavia, per oltre cinque anni, un difetto del firmware ha reso prevedibili le chiavi generate da questi dispositivi.

Come la vulnerabilità di Coldcard ha reso calcolabili le chiavi private

L'accesso a un wallet Bitcoin dipende da un singolo numero casuale. Da quel numero, il dispositivo deriva la seed phrase, un insieme di 12 o 24 parole di recupero conforme allo standard BIP-39, la specifica adottata a livello industriale da praticamente tutti i produttori di wallet hardware. Queste parole possono ripristinare l'intero saldo in caso di emergenza. Se però quel numero iniziale non è veramente casuale, un soggetto esterno può ricalcolarlo.

Sui dispositivi Coldcard, il generatore hardware di numeri casuali all'interno del microcontrollore STM32 integrato, una famiglia di chip ampiamente diffusa di STMicroelectronics utilizzata in numerosi sistemi embedded, avrebbe dovuto svolgere questo compito critico. Tuttavia, un'impostazione di compilazione aveva disattivato il generatore. Inoltre, una routine di controllo nella libreria libngu verificava solo se l'impostazione esistesse, non se fosse effettivamente attiva. Di conseguenza, il firmware ricorreva a un percorso alternativo per l'entropia. Questo fallback ricavava l'entropia dal numero di serie del microcontrollore, da un contatore di sistema e dai registri dell'orologio in tempo reale. Nessuno di questi valori è segreto; un aggressore può leggere parte del numero di serie via USB. Sul modello Mk3, il contatore di sistema copre solo circa 80.000 valori possibili, molto meno di quanto sarebbe considerato crittograficamente sicuro. Chiunque conosca la formula può ricostruire le chiavi.

I wallet interessati sono quelli il cui seed è stato generato su firmware vulnerabile dopo il 1 March 2021. Ciò riguarda innanzitutto i wallet single-signature, ma anche le configurazioni multisig sono esposte se tutti i dispositivi coinvolti sono interessati. La stessa fonte di entropia difettosa alimentava inoltre le chiavi dei paper wallet, le maschere XOR del seed, la cifratura delle clonazioni del dispositivo, i segreti Web2FA e le password archiviate. Chiunque utilizzi un dispositivo interessato deve considerare compromesso ogni segreto creato su di esso.

Finora sottratti 1.367 Bitcoin

La prima ondata di deflussi è avvenuta nella notte tra il 29 e il 30 July. Nel giro di circa 41 minuti, tra 594 e 1.083 BTC sono usciti da 500 a 1.200 indirizzi, a seconda del conteggio. Ulteriori ondate sono seguite nei giorni successivi e, per la terza, Galaxy Research riporta 207.73 BTC. Nel complesso, il danno confermato ammonta a circa 1.367 BTC provenienti da 4.585 indirizzi interessati.

Il processo, tuttavia, non è concluso. Il 3 August, Galaxy Research ha segnalato una sospetta quarta ondata, inizialmente pari a 388.93 BTC provenienti da 462 indirizzi. In seguito, le stime riviste l'hanno collocata a 448.73 BTC da 709 indirizzi. Nel primo conteggio provvisorio, i movimenti si sono concentrati nei blocchi da 960,778 a 960,792, coprendo circa due ore e mezza. Il ritmo è quindi di circa 13.8 sweep transaction per blocco, circa 45 volte il livello precedente all'incidente. Se questa ondata verrà confermata, le perdite totali salirebbero a circa 1.816 BTC, ovvero circa 113 milioni di USD.

Anche il comportamento successivo ai deflussi è degno di nota. Finora non si è mosso nulla da alcun indirizzo di ricezione identificato. Per un furto di queste dimensioni, è insolito. Gli analisti hanno inoltre segnalato circa 600 indirizzi sospetti alle forze dell'ordine, alle società di compliance e agli investigatori di cybersecurity.

Coinkite distribuisce un firmware corretto e sospende le spedizioni

Il produttore Coinkite ha riconosciuto il difetto alla fine di July e ha aggiornato di nuovo l'avviso di sicurezza all'inizio di August. Tuttavia, l'azienda non conferma in quel documento un collegamento diretto con i deflussi osservati.

L'avviso riguarda i modelli Mk2 e Mk3 con le versioni da 4.0.1 a 4.1.9. Sono interessati anche i dispositivi Mk4 e Mk5 con versioni precedenti a Standard 5.6.0 o Edge 6.6.0X, così come il modello Q precedente a Standard 1.5.0Q o Edge 6.6.0QX. Per tutti i modelli interessati è ora disponibile un firmware corretto: Mk2 e Mk3 ricevono la versione 4.2.0, Mk4 e Mk5 Standard 5.6.0 e Q 1.5.0Q.

Un semplice aggiornamento, però, non basta, perché il vecchio seed resta calcolabile. In sostanza, Coinkite consiglia agli utenti interessati di aggiornare il firmware e generare un nuovo seed. Dopo una piccola transazione di prova, dovrebbero trasferire il saldo ai nuovi indirizzi. Gli utenti dovrebbero verificare il nuovo backup prima del trasferimento. Un gruppo può evitare la migrazione. L'esenzione riguarda gli utenti che hanno generato personalmente il seed durante la configurazione con almeno 50 lanci indipendenti di dadi. Tali utenti inoltre non devono aver annotato quei lanci in alcun luogo. Una forte passphrase BIP-39, al contrario, non sostituisce la migrazione. Secondo l'avviso, funziona solo come barriera aggiuntiva.

L'azienda ha inoltre sospeso le spedizioni di nuovi dispositivi e distrutto le scorte residue con firmware interessato.

"I clienti interessati che avevano già ricevuto i loro dispositivi sono stati contattati direttamente con una raccomandazione e le istruzioni per la migrazione. La nostra attenzione ora è interamente rivolta ad aiutare gli utenti interessati a migrare in sicurezza."

• Coinkite, dichiarazione aziendale

Le compromissioni di chiavi causano la maggior parte delle perdite da hack

Rispetto al settore nel suo complesso, il caso non rappresenta un'eccezione. Nella prima metà del 2026, gli aggressori hanno sottratto circa 972 milioni di USD a livello globale, secondo TRM Labs. Rispetto ai 2,3 miliardi di USD del periodo equivalente dell'anno precedente, si tratta di un calo di oltre il 50 percento. Allo stesso tempo, il numero di incidenti è salito a un record di 207. Nella prima metà del 2025, il conteggio era 83. Il bottino diminuisce. Il numero di attacchi aumenta.

Le perdite si concentrano in una sola categoria. In particolare, le compromissioni di infrastrutture e chiavi rappresentano circa il 15 percento degli incidenti, rileva TRM. Eppure causano circa il 76 percento del danno totale. È esattamente qui che si colloca l'incidente Coldcard, soprattutto perché il difetto ha colpito la generazione delle chiavi stessa. Un singolo errore in quel punto si propaga per anni e su migliaia di dispositivi.

Gli attori legati agli Stati costituiscono il singolo blocco più grande. Gruppi collegati alla Corea del Nord come Lazarus e TraderTraitor rappresentano circa 643 milioni di USD, riferisce TRM, cioè circa il 66 percento delle perdite semestrali. Gli attacchi di April contro Drift e KelpDAO ne hanno causato la maggior parte. Di conseguenza, l'incidente Coldcard non crea un nuovo rischio. Mostra dove si trova quello esistente. Dove e come nasce il materiale delle chiavi determina la sicurezza di un saldo. Il fatto che poi esso sia custodito da un depositario o su un dispositivo domestico conta solo dopo.