Attacco ai wallet Coldcard sfrutta un bug del firmware rimasto nascosto per 5 anni: rubati 1.600 BTC (oltre 100 milioni di dollari)

Cory Klippsten era a un matrimonio a Parigi quando ha iniziato a ricevere i primi messaggi. "È stato un weekend brutale per tantissime persone che hanno perso bitcoin", ha raccontato in un'intervista il CEO di Swan. "Alle 4 del mattino mandavo messaggi per aiutare qualcuno sulla costa Pacifica a mettere al sicuro le proprie monete." Era giovedì scorso, quando un gruppo di aggressori ha cominciato a svuotare bitcoin da migliaia di hardware wallet Coldcard sfruttando una falla nel firmware rimasta inosservata per cinque anni. Il problema risalirebbe a un aggiornamento di marzo 2021 del wallet prodotto da Coinkite: un difetto avrebbe lasciato alcuni utenti con chiavi private meno robuste del previsto. Dopo tre ondate di attacchi, sarebbero stati sottratti quasi 1.600 BTC, per un controvalore superiore a 100 milioni di dollari, da circa 7.300 indirizzi, secondo Galaxy Research. Swan, piattaforma statunitense che assiste i clienti nell'acquisto, nella detenzione e nella self-custody di bitcoin, ha sospeso i prelievi per i clienti ritenuti a rischio, inviato avvisi in-app e ampliato il supporto alla migrazione anche oltre la propria base utenti. "Il team ha messo in pausa tutto per iniziare a chiamare i clienti, poi abbiamo aperto l'assistenza a chiunque avesse bisogno, anche se non era mai stato cliente Swan", ha detto Klippsten. A una settimana di distanza, quasi il 90% dei bitcoin rubati risulta ancora fermo on-chain. Gli indirizzi degli aggressori confermati sono stati condivisi con le autorità federali statunitensi. Coinkite, società con sede a Toronto, ha distribuito patch per tutte le linee di dispositivi interessate. Un team di volontari finanziato da OpenSats ha analizzato oltre 150 repository open source senza trovare indicazioni che il problema si estendesse oltre Coldcard. L'episodio ha riacceso nel settore il dibattito sul valore della self-custody: secondo alcuni, gli investitori dovrebbero valutare modalità alternative per esporsi a bitcoin, ad esempio tramite ETF, invece di detenere direttamente le chiavi. Klippsten sostiene però che i clienti non stanno facendo marcia indietro; al contrario, stanno cercando soluzioni per rendere i fondi più difficili da compromettere. "In questo momento molte persone stanno passando a Swan Vault", ha spiegato, riferendosi al prodotto multisig collaborativo dell'azienda, in cui nessun singolo dispositivo può mettere a rischio i fondi dell'utente. "Più che abbandonare la self-custody, in molti la stanno potenziando." Il bilancio di Klippsten resta improntato a un cauto ottimismo: "È terribile che alcuni abbiano perso monete, dopo aver fatto tutto nel modo 'giusto' secondo quanto suggerito da molte figure note del settore. Ma Bitcoin è antifragile e gli strumenti migliorano di ora in ora. Questo potrebbe finire per essere la cosa migliore che sia mai successa alla self-custody."