Il fondatore di Binance, Changpeng "CZ" Zhao, ha esortato i detentori di criptovalute a distribuire i propri fondi tra più wallet a seguito di un grave fallimento di sicurezza nei dispositivi wallet hardware Coldcard.

In un post su X di sabato in risposta alle segnalazioni del furto, CZ ha scritto: "Anche i wallet hardware possono avere bug. Anche i wallet vecchi (con una lunga storia) possono avere bug. Come mitigare? Forse dividendo i fondi in alcuni wallet? Questo comporta un diverso insieme di rischi. Niente è al 100%. Rimani informato. Rimani SAFU!"

Ha ammonito che la suddivisione dei fondi introduce un diverso insieme di rischi e che nulla è sicuro al 100%.

L'exploit si è concentrato su una vulnerabilità del firmware risalente al marzo 2021 che ha indebolito la casualità utilizzata per generare le seed di recupero su determinati modelli Coldcard. Un attaccante è stato in grado di ricostruire le chiavi private offline e prosciugare i fondi senza mai accedere fisicamente ai dispositivi. La vulnerabilità è particolarmente significativa perché le seed di recupero rappresentano l'ultima linea di difesa per gli utenti di wallet hardware: se una seed può essere ricostruita matematicamente, nessuna misura di sicurezza fisica del dispositivo ha più importanza.

Coldcard, prodotto dalla società con sede a Toronto Coinkite, è un wallet hardware esclusivamente per Bitcoin ampiamente utilizzato dagli appassionati orientati alla privacy e all'autocustodia, in parte perché è progettato per operare interamente offline tramite schede MicroSD anziché tramite connessioni USB o di rete. Questa reputazione di isolamento air-gapped rende l'exploft particolarmente degno di nota, poiché la vulnerabilità ha aggirato la premessa di sicurezza fondamentale del dispositivo senza richiedere accesso fisico o connettività di rete.

Le segnalazioni on-chain iniziali hanno identificato circa 594 bitcoin (circa 38 milioni di dollari all'epoca) prelevati da circa 500 wallet in una finestra di circa 25 minuti il 30 luglio. Un'analisi successiva di Galaxy Research ha ampliato significativamente la portata, rilevando che 1.082,65 bitcoin — valutati a circa 70 milioni di dollari — sono stati sottratti da 1.196 indirizzi in circa 41 minuti. Molti dei wallet colpiti erano inattivi da anni.

Coinkite ha riconosciuto il bug, ha presentato delle scuse e ha rilasciato aggiornamenti firmware di emergenza. L'azienda ha consigliato agli utenti che hanno generato seed su versioni firmware interessate di creare seed completamente nuove su dispositivi aggiornati e migrare attentamente i propri fondi. Coinkite ha precisato che il semplice aggiornamento del firmware non mette in sicurezza una seed già creata e vulnerabile.

L'incidente ha riacceso il dibattito sui limiti dell'autocustodia. I wallet hardware sono ampiamente considerati tra le opzioni più solide per la sicurezza dei bitcoin offline, eppure il caso Coldcard dimostra che anche dispositivi affermati da tempo possono nascondere difetti critici che rimangono non rilevati per anni. Il suggerimento di CZ sulla diversificazione riconosce che la dispersione del rischio comporta sfide pratiche proprie, inclusa una gestione delle chiavi più complessa.

L'exploit sottolinea inoltre una sfida più ampia del settore: il firmware dei wallet hardware è raramente sottoposto allo stesso livello di auditing di sicurezza indipendente e aperto dei protocolli crittografici su cui si basa, il che significa che i bug di implementazione di un singolo fornitore possono persistere non rilevati molto tempo dopo la distribuzione.

Fonte: CoinDesk