Bug nei wallet Coldcard: perdite in Bitcoin fino a 130 milioni di dollari

Il team Bitcoin Engineering and Security di Block, insieme a sviluppatori indipendenti di Bitcoin Core, ha ricondotto le recenti sottrazioni di fondi da wallet hardware Coinkite Coldcard a un difetto di firmware. Il problema ha messo in luce una vulnerabilità nella self-custody: in alcuni casi la debolezza nasceva prima ancora che l'utente interagisse con la seed phrase. Secondo le analisi, il bug faceva deviare la generazione di numeri casuali dalla sorgente hardware STM32 verso il fallback deterministico Yasmarang di MicroPython. I modelli Mk2 e Mk3 con firmware dalla versione 4.0.1 alla 4.1.9 avrebbero generato seed con entropia effettiva ridotta a un insieme piccolo e ricercabile. I modelli Mk4, Q e Mk5 sarebbero stati colpiti in modo meno grave, con seed stimati a circa 72 bit di entropia, comunque sotto i 128 bit previsti dal progetto. Impatto pratico: seed deboli "dalla nascita" Un utente poteva annotare 12 o 24 parole, conservarle in cassaforte, tenere il dispositivo offline per anni e trovarsi comunque con una chiave ricostruibile da un attaccante tramite ricerca nello spazio ristretto prodotto dal generatore di fallback. L'aggiornamento del firmware protegge solo le seed generate dopo l'installazione della patch: le seed create in precedenza lungo il percorso vulnerabile devono essere sostituite. Coinkite, nella propria advisory, invita gli utenti potenzialmente esposti a generare una seed completamente nuova e trasferire i fondi; importare la vecchia frase su un wallet di un altro produttore non elimina il rischio, perché la debolezza riguarda l'origine della seed e "viaggia" con le parole di recupero. La finestra temporale Il percorso vulnerabile sarebbe stato distribuito in firmware rilasciati a partire dal 2021 e sarebbe rimasto in circolazione fino alla divulgazione di luglio, coprendo circa cinque anni. Le note tecniche di Coinkite indicano che verifiche precedenti avevano confermato la presenza del corretto generatore hardware in qualche punto del binario, senza però arrivare a dimostrare che la routine di generazione della seed lo utilizzasse effettivamente. Chi ha retto meglio all'attacco Due configurazioni sono state indicate come mitigazioni rilevanti: - Passphrase BIP39 forte e unica: la derivazione della seed BIP39 combina mnemonico e un sale che include la passphrase; cambiando passphrase cambia anche il wallet, anche a parità di parole. La passphrase è distinta dal PIN del dispositivo (che serve solo a sbloccare l'hardware). Nonostante ciò, Coinkite avrebbe comunque raccomandato la migrazione anche per questi utenti. - Entropia esterna tramite dadi: gli utenti che hanno generato la seed aggiungendo almeno 50 lanci equi, indipendenti e privati di dadi sarebbero esclusi da questo specifico difetto, perché l'entropia esterna impedisce al generatore difettoso del dispositivo di essere l'unica fonte di casualità. Andrew Mannoukas, CISO di Xapo Bank, ha sintetizzato il punto in una nota a CryptoSlate: "La lezione di questo incidente non è che gli hardware wallet siano cattivi; è che la concentrazione lo è. Quando la sicurezza dei tuoi Bitcoin si riduce a un unico segreto, creato su un unico dispositivo, in un unico momento irripetibile, erediti ogni assunzione incorporata in quel momento". Ha aggiunto che da anni i dati del settore mostrano come la maggior parte delle perdite derivi da gestione delle chiavi e fallimenti operativi. Multisig: non basta "averlo" Un 2-of-3 può impedire che un singolo compromesso muova fondi. Il vantaggio, però, crolla se tutte le chiavi condividono la stessa implementazione difettosa: tre chiavi nate dallo stesso errore diventano un unico dominio di fallimento. La documentazione Coldcard consente anche di creare più cofirmatari dallo stesso dispositivo usando passphrase diverse; si ottengono chiavi differenti, ma potenzialmente legate alla medesima base implementativa. Il test reale diventa: chi ha generato ciascuna chiave, con quale implementazione e con quale sorgente di casualità. Il confronto con Ledger Il servizio opzionale Ledger Recover duplica ed esegue il backup dell'entropia del wallet: il Secure Element cripta il materiale, lo divide in tre frammenti cifrati e li invia a provider di backup distinti, processo che richiede abbonamento e approvazione fisica sul dispositivo. In quel caso, la questione riguarda lo spostamento di segreti fuori dal dispositivo in condizioni approvate dall'utente. Per Coinkite il problema è più a monte: il firmware avrebbe compromesso il segreto prima ancora che il "perimetro" del dispositivo entrasse in gioco. In entrambi i casi, è il software del produttore a definire dove passi davvero il confine di sicurezza della self-custody, al di là del marketing dell'hardware. Stima delle perdite e on-chain Le prime operazioni di "sweep" avrebbero sottratto circa 594 BTC da circa 500 wallet. Ricercatori on-chain hanno poi collegato almeno tre ondate sospette al difetto, per un totale di quasi 1.367 BTC su oltre 4.500 indirizzi, valutati intorno a 89 milioni di dollari al momento. Report circolati il 3 agosto indicano una possibile quarta ondata che potrebbe spingere il totale verso 114 milioni di dollari. Alex Thorn di Galaxy Digital ha avvertito che i soli pattern su blockchain non confermano in modo definitivo l'attribuzione di alcuni indirizzi "ripuliti" al firmware vulnerabile Coldcard, lasciando la ricostruzione provvisoria mentre il conteggio continua a salire. In un aggiornamento successivo del 4 agosto, Lookonchain, citando Galaxy Research, ha stimato che le perdite potenzialmente legate a Coldcard potrebbero aver raggiunto 2.055 BTC, pari a circa 130 milioni di dollari, su più di 7.700 indirizzi coinvolti. Il quadro più ampio: la fragilità è operativa TRM Labs stima che infrastruttura e compromissioni operative, soprattutto furto di chiavi private e seed phrase, abbiano rappresentato circa il 76% del valore sottratto negli hack crypto nel primo semestre 2026, pur costituendo circa il 15% degli incidenti totali. CertiK, separatamente, ha indicato il "wallet compromise" come la categoria di attacco più costosa nello stesso periodo, con oltre 444 milioni di dollari su 33 episodi. La redditività per gli attaccanti è sempre più nei processi attorno alle chiavi, non nella crittografia sottostante. La risposta di Coinkite e il nodo responsabilità Il fondatore di Coinkite, Rodolfo Novak, si è scusato pubblicamente, ha dichiarato piena responsabilità e ha offerto supporto per denunce, pratiche assicurative e indagini on-chain. Al 3 agosto, il rimborso non risultava tra le soluzioni indicate. A differenza di un exchange, che può talvolta attingere a riserve, assicurazioni o bilancio, un produttore di hardware wallet vende un dispositivo e lascia di norma la custodia dei Bitcoin interamente all'utente, rendendo l'allocazione della responsabilità per un difetto di prodotto più ambigua. Cosa può cambiare per la self-custody Nello scenario favorevole, la migrazione degli utenti supererà l'emergere di nuove ondate e i produttori introdurranno attestazioni sull'entropia, test sulla generazione delle seed e strumenti più chiari per la rotazione d'emergenza delle chiavi. Passphrase, entropia esterna con dadi e multisig realmente diversificato potrebbero passare da "best practice avanzate" a impostazioni predefinite. Nello scenario avverso, potrebbero emergere ulteriori percorsi di seed deboli in altri modelli o procedure di setup, erodendo la fiducia più rapidamente di quanto i produttori riescano a correggere. Le migrazioni in panico possono generare perdite secondarie: riuso di indirizzi, trasferimenti affrettati, nuove truffe di "assistenza wallet" mirate a chi tenta di mettere in sicurezza i fondi. La conclusione operativa resta netta: detenere le proprie chiavi elimina la dipendenza da un exchange, ma non cancella quella dal produttore che trasforma la casualità in una chiave. Una singola seed generata su un unico dispositivo, in un momento irripetibile, garantisce sovranità solo se supportata da una seconda assunzione indipendente.