Coldcard invita gli utenti a spostare subito i fondi: exploit ancora attivo, perdite fino a 114 milioni di dollari

Gli sviluppatori di Coldcard hanno invitato gli utenti a trasferire con urgenza i propri bitcoin, confermando martedì che l'exploit che sta prosciugando i wallet in autocustodia è ancora in corso e avrebbe già causato perdite fino a 114 milioni di dollari. "Consideratelo urgente. Migratе i fondi", ha scritto l'azienda, chiedendo anche di avvisare i possessori "meno online" che potrebbero non aver visto l'allerta. Proprio questi utenti risultano più esposti perché la correzione richiede un intervento manuale. Coldcard raccomanda di seguire l'avviso relativo al proprio modello, aggiornare il dispositivo, generare un nuovo seed e trasferire con attenzione i fondi. L'allarme non è precauzionale. Secondo quanto riportato da CoinDesk lunedì, una possibile quarta ondata di "sweeps" ha proseguito nel corso della giornata: il conteggio rivisto di Galaxy Research indica circa 449 BTC sottratti da 709 indirizzi, portando le perdite cumulative da circa 89 milioni di dollari fino a un massimo di 114 milioni. La vulnerabilità sarebbe legata a un componente del firmware rimasto dormiente dal 2021, come riportato da CoinDesk venerdì. Il rischio riguarda i wallet in cui un'unica chiave controlla i fondi senza una seconda approvazione: in questi casi l'attacco resta possibile finché il titolare non interviene. L'esposizione è quindi limitata a specifici dispositivi e versioni di firmware. Per i proprietari di Mk3 (modello 2019), Coldcard consiglia di spostare subito i fondi se il wallet è stato configurato con firmware 4.0.1 o successivo. Coinkite ha precisato che fa eccezione chi ha utilizzato l'opzione "dice", che prevede di lanciare fisicamente i dadi almeno 50 volte e inserire i risultati: in quel caso la chiave viene costruita a partire da quei numeri invece di essere generata dal dispositivo. Questi wallet non avrebbero mai toccato il codice difettoso e sono considerati sicuri. I possessori di Mk4, Mk5 e Q con firmware inferiore a 5.6.0 o 1.5.0Q dovrebbero aggiornare, creare un nuovo wallet e poi trasferire le monete. Il seed è la chiave principale che controlla le monete di un wallet: se viene prodotto con entropia insufficiente, un attaccante può indovinarlo e rigenerarlo, svuotando poi il wallet senza mai dover toccare il dispositivo. "Ogni wallet, in ultima analisi, dipende da un segreto radice generato da entropia di alta qualità", ha scritto Bouzon a CoinDesk via email, aggiungendo che la generazione di tale entropia "deve essere ancorata a hardware sicuro, con un'architettura che non possa degradare silenziosamente verso una fonte software non affidabile". Ha definito peggiori le alternative, sostenendo che i wallet software su hardware non sicuro sono ancora più rischiosi e che affidare i fondi a un exchange centralizzato "non è proprietà, è un'IOU". Martedì nelle prime ore della sessione USA, bitcoin scambiava intorno a 63.800 dollari, con movimenti limitati dopo l'avviso di Coldcard, secondo i dati di CoinDesk.