Vultisig, lo sviluppatore di un wallet per criptovalute multi-firma, dichiara che un aggiornamento rilasciato nell'agosto 2025 ha risolto una vulnerabilità relativa alle chiavi private nel suo software. L'azienda non ha reso pubblico quali versioni fossero interessate, quali condizioni potessero attivare il difetto o se fondi di utenti siano stati compromessi prima del rilascio della correzione.

Un servizio di CryptoSlate descrive il problema come una perdita critica di chiavi private bloccata dagli aggiornamenti di agosto. La posta in gioco in questa categoria è insolitamente alta: una chiave private funziona come la password principale di qualsiasi wallet cripto, e chi la possiede controlla interamente i fondi del wallet, rendendo questa una delle vulnerabilità più gravi a cui un provider di wallet possa andare incontro.

Oltre ad attribuire la risoluzione agli aggiornamenti rilasciati in agosto, Vultisig non ha emesso un avviso di sicurezza pubblico. Al momento della stesura, non esiste un identificatore CVE, un intervallo di versioni interessate né un documento tecnico che confermi l'ambito della correzione. Gli identificatori CVE sono il sistema standardizzato utilizzato nell'industria software per catalogare le vulnerabilità divulgate pubblicamente, offrendo a utenti e team di sicurezza un punto di riferimento comune per verificare se le proprie installazioni sono interessate.

Perché una vulnerabilità delle chiavi private è grave

Una chiave privata è una lunga stringa di caratteri generata quando viene creato un wallet cripto. È parabile alla combinazione di una cassaforte: chiunque la conosca può aprire la cassaforte e prendere tutto ciò che contiene. Nel peggiore dei casi, una vulnerabilità che divulga o espone le chiavi private potrebbe consentire a un attaccante di svuotare un wallet senza che il proprietario compia alcuna azione errata.

Vultisig è basato sul multi-party computation (MPC), un progetto in cui nessun singolo dispositivo detiene mai la chiave privata completa. La chiave è invece suddivisa in "condivisioni" (share) su più dispositivi, riducendo il rischio che un singolo punto di guasto esponga la chiave completa. Una vulnerabilità in un sistema di questo tipo potrebbe riguardare la gestione impropria delle condivisioni di chiave durante un'operazione di firma, anche se Vultisig non ha confermato il meccanismo specifico nelle divulgazioni pubbliche esaminate per questo articolo.

I difetti di sicurezza di questo tipo non sono esclusivi di Vultisig. All'inizio di quest'anno, Electrum ha corretto un difetto che consentiva a server malevoli di agevolare il furto di Bitcoin, e un hack a un trading bot su Solana ha drenato quasi 1 milione di dollari da 49 wallet dopo che gli attaccanti hanno trovato una debolezza nella modalità di archiviazione delle chiavi private. In questi episodi, il filo conduttore comune è la gestione del materiale delle chiavi private — il componente del software del wallet in cui un difetto si traduce più direttamente nella perdita dei fondi degli utenti.

Cosa dovrebbero fare ora gli utenti di Vultisig

Per gli utenti di Vultisig, il passo più importante è verificare di utilizzare l'ultima versione dell'app. Gli aggiornamenti devono essere ottenuti dallo store di app o dal sito ufficiale di Vultisig — mai da siti di terze parti, store non ufficiali o link inviati tramite messaggi sui social.

Gli utenti dovrebbero inoltre consultare le note di rilascio ufficiali di Vultisig o eventuali comunicazioni di sicurezza pubblicate sul suo sito web o sui canali social verificati. Ci si attende che questi documenti identifichino quali versioni contenevano la vulnerabilità e confermino quale build include la correzione. Se tali informazioni non dovessero essere reperibili, gli utenti devono contattare l'assistenza di Visig direttamente tramite i canali ufficiali prima di ritenere la propria installazione sicura.

Come regola generale, non condividere mai la frase di recupero o qualsiasi materiale relativo alle chiavi private con nessuno, comprese persone che affermino di far parte del team Vultisig. I provider di wallet legittimi non chiederanno mai queste informazioni. Chiunque contatti un utente segnalando un urgente problema di sicurezza e richieda la seed phrase sta conduciendo una truffa, non un'interazione di assistenza.

Per un contesto più ampio su come le vulnerabilità delle infrastrutture si propagano, la violazione cloud di GMO Trading che ha messo a rischio oltre 26.000 server ricorda che le superfici di attacco si estendono oltre l'app del wallet stessa.

Cosa rimane poco chiaro

Diversi dettagli sostanziali non sono ancora confermati nelle divulgazioni pubbliche. Vultisig non ha dichiarato quali numeri di versione specifici fossero vulnerabili, se il difetto richiedesse una particolare azione dell'utente per attivarsi o se qualche wallet fosse stato sfruttato prima del rilascio della patch. L'azienda non ha inoltre indicato se la vulnerabilità sia stata scoperta internamente o segnalata da un ricercatore di sicurezza esterno.

Le divulgazioni da attendere sono un avviso di sicurezza formale con un CVE assegnato, la pubblicazione dell'intervallo di versioni interessate e una dichiarazione sull'eventuale impatto su alcuni wallet. Fino a quando Vultisig non pubblica un avviso di sicurezza formale, gli utenti dovrebbero considerare l'aggiornamento di agosto obbligatorio e non opzionale, e verificare lo stato della propria installazione il prima possibile.

Disclaimer: Questo articolo ha finalità puramente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuare sempre ricerche autonome prima di prendere decisioni.