Galaxy individua 15 aggressori nell'exploit Coldcard, perdite verso quota 130 milioni di dollari

Galaxy Digital afferma di aver identificato almeno 15 aggressori distinti che hanno sfruttato una vulnerabilità di Coldcard, sulla base di nuove segnalazioni arrivate dopo che l'incidente è diventato pubblico. Secondo Alex Thorn, le comunicazioni dei singoli utenti hanno permesso agli analisti di attribuire e "etichettare" attacchi che altrimenti sarebbero rimasti invisibili, dato che lo schema non assomiglia a una violazione di exchange centralizzati: i seed compromessi possono essere sfruttati in modo indipendente da più soggetti. Le nuove denunce stanno delineando una campagna frammentata, più che un furto coordinato. In un caso, la segnalazione di un utente che riferiva il furto di meno di 1 BTC ha consentito ai ricercatori di collegare un attacco che ha sottratto 12 BTC da 126 indirizzi, evidenziando come anche un reclamo apparentemente minore possa far emergere un quadro più ampio. Galaxy stima ora perdite confermate vicine a 100 milioni di dollari distribuite su tre ondate di attacco e indica una quarta ondata sospetta che potrebbe portare il totale a circa 130 milioni di dollari in Bitcoin. L'aumento della stima suggerisce che la ricostruzione dell'exploit è ancora in corso e che conteggio delle vittime, attribuzione e calcolo delle perdite complessive restano complessi proprio perché gli stessi seed possono essere compromessi e sfruttati separatamente da attori diversi. Il caso ha riacceso anche il dibattito sul ruolo dell'intelligenza artificiale nella scoperta preventiva di difetti simili. Haseeb Qureshi, managing partner di Dragonfly, ha sostenuto che circa 2 dollari di "AI hardening" avrebbero potuto evitare l'incidente, citando test in cui modelli avrebbero riprodotto la vulnerabilità in pochi minuti. L'affermazione resta controversa: diverse dimostrazioni sarebbero avvenute quando il difetto era già noto. Un ricercatore ha osservato che alcuni test non presentavano condizioni "blind", metodi documentati e analisi dei falsi positivi; un altro esperimento riporta che un modello open source avrebbe individuato il problema in 20 minuti senza accesso al web, alimentando ulteriormente la discussione sulla reale capacità di rilevamento prima della divulgazione. Sul piano tecnico, Castle Labs ha indicato che il bug avrebbe ridotto l'entropia della chiave privata Coldcard a circa 40 bit, ben al di sotto dei 128 bit associati a una seed standard da 12 parole. Questo crollo avrebbe reso più praticabile la ricerca brute force e potrebbe spiegare la presenza di numerosi aggressori. L'episodio mette in luce una falla nei test: la promessa di sicurezza di un hardware wallet dipendeva da un'entropia che il firmware avrebbe indebolito silenziosamente. Con l'AI che abbassa il costo della revisione del codice sia per i difensori sia per i criminali, resta aperto il nodo centrale: la capacità dei produttori di wallet di irrobustire i rilasci prima che strumenti automatizzati trasformino errori di implementazione poco evidenti in opportunità di furto scalabili su indirizzi Bitcoin inattivi.