Lo sviluppatore Bitcoin Peter Todd ha messo in guardia gli utenti sul rischio concentrato della custodia Bitcoin a firma singola in seguito a una segnalata perdita di 38 milioni di dollari legata ai portafogli hardware Coldcard, riaccendendo il dibattito su come i grandi saldi vengano protetti con una singola chiave.

La custodia a firma singola nuovamente sotto esame

Un wallet a firma singola, o single-sig, protegge i fondi utilizzando una sola chiave privata derivata da una singola frase seed. Quando quella chiave o il processo di generazione del seed vengono compromessi, nessun fattore secondario si interpone tra un attaccante e il saldo totale.

L'avviso segue una debolezza documentata nel modo in cui alcune versioni del firmware Coldcard generavano i seed. Coinkite, il produttore di Coldcard, ha pubblicato un avviso sulla generazione del seed per i dispositivi Coldcard Mk3 interessati, identificando le condizioni in cui l'entropia potrebbe essere compromessa. Il Mk3 è una generazione precedente della linea di prodotti Coldcard; l'attuale modello in commercio di Coinkite è il Mk4, che utilizza un'architettura di secure element diversa.

I dispositivi Coldcard occupano una posizione rilevante nell'ecosistema di autocustodia Bitcoin, apprezzati per il loro design air-gapped che utilizza comunicazione tramite scheda SD o NFC anziché connessioni USB dirette. Questo incidente evidenzia che anche i wallet progettati per resistere agli attacchi basati sulla rete possono presentare debolezze fondamentali nel modo in cui generano il materiale crittografico alla base dei fondi degli utenti.

L'entità della perdita sottolinea la vulnerabilità. Un furto di questa scala dimostra che, quando una singola chiave viene esposta, un intero patrimonio può essere trasferito in un solo colpo, in netto contrasto con le perdite incrementali tipiche di altre modalità di fallimento.

I punti deboli del cold storage emersi dall'incidente

Le analisi indipendenti si sono concentrate sul difetto di generazione del seed piuttosto che su un errore dell'utente. Gli ingegneri di Block hanno descritto un fallback RNG prevedibile e un reseed a 32 bit nel firmware Coldcard, una condizione che può rendere le chiavi private indovinabili se il generatore di numeri casuali degenera in uno stato debole.

Questa distinzione è fondamentale: la sicurezza del dispositivo e la sicurezza complessiva del wallet sono questioni separate. Un hardware wallet può essere fisicamente resistente alle manomissioni pur producendo chiavi crittograficamente deboli, spostando il rischio dal furto fisico del dispositivo alla previsione matematica della chiave stessa. La generazione sicura di numeri casuali è alla base di tutti i sistemi crittografici, e i fallimenti RNG prevedibili sono storicamente stati una delle classi di vulnerabilità più consequenziali nell'intero panorama tecnologico.

Il resoconto dell'incidente ha descritto fondi prosciugati in circa 15 minuti, coerente con un attaccante che possedeva già la capacità di ricostruire la chiave piuttosto che qualcuno che sondasse le difese in tempo reale. Le meccaniche precise restano da confermare.

I possessori rivedono i modelli di custodia

Le configurazioni single-sig restano attraenti per la loro semplicità: un solo seed di cui eseguire il backup, una sola firma necessaria per spendere e meno componenti da gestire. Tuttavia, la stessa comodità concentra tutto il rischio in un singolo punto di fallimento.

L'incidente sta orientando i grandi possessori verso strategie di custodia multi-livello. Le configurazioni multi-firma richiedono diverse chiavi indipendenti per autorizzare una transazione, riducendo la probabilità che un singolo seed compromesso possa muovere un intero saldo. Questo approccio introduce complessità operativa ma non elimina completamente il rischio.

Le considerazioni sulla custodia si sono intensificate con la crescita dell'esposizione istituzionale al Bitcoin. La lezione centrale da questo furto è specifica: il modello di custodia appropriato bilancia comodità, controllo e valore a rischio, e le configurazioni single-sig potrebbero non soddisfare più questa soglia per i patrimoni più consistenti.