Prima di procedere
Il settore della custodia di asset digitali sta affrontando una crisi di fiducia senza precedenti dopo la conferma di un massiccio attacco hacker che ha colpito i possessori dei celebri hardware wallet Coldcard. Secondo quanto riportato dagli analisti di Galaxy Research, l’offensiva ha portato alla sottrazione di circa 1.815 Bitcoin, per un controvalore stimato in circa 118 milioni di dollari. L'operazione criminale, che si è articolata in diverse ondate a partire dalla fine di luglio, ha messo a nudo una vulnerabilità critica nel cuore del sistema di sicurezza di uno dei dispositivi più apprezzati dagli investitori istituzionali e dai privati. Le prime avvisaglie del disastro sono emerse il 30 luglio, quando in un arco di tempo di soli 41 minuti, i malintenzionati sono riusciti a svuotare 1.196 portafogli, prelevando oltre 1.082 Bitcoin.
L'indagine tecnica ha rivelato che l'attacco non è stato frutto di una singola intrusione, ma di una strategia metodica suddivisa in quattro ondate principali. Complessivamente, sono stati colpiti 5.294 portafogli crittografici, un numero che ha scosso le fondamenta della comunità Bitcoin globale. Sebbene la notizia sia stata inizialmente riportata da testate specializzate come blockonomi.com, la società produttrice dei dispositivi, la canadese Coinkite, ha impiegato del tempo prima di fornire dettagli tecnici esaustivi, mentre le autorità di polizia internazionali sono ancora impegnate nel tracciare i flussi di denaro on-chain per identificare i responsabili.
La radice del problema risiede in una falla critica nel firmware dei dispositivi Coldcard. La società Block, guidata da esperti di sicurezza informatica, ha identificato un errore di integrazione nel codice di generazione dei numeri casuali (RNG, Random Number Generator). In pratica, un bug introdotto durante un aggiornamento del firmware risalente al marzo 2021 ha causato un malfunzionamento sistemico: invece di utilizzare il robusto generatore hardware STM32 integrato nel microchip, il sistema ha iniziato a fare affidamento su un generatore software di riserva molto più debole, denominato Yasmarang di MicroPython. Questo scambio involontario ha ridotto drasticamente l'entropia, ovvero la complessità e l'imprevedibilità delle chiavi generate, rendendo le cosiddette "seed phrase" (le sequenze di parole che garantiscono l'accesso ai fondi) vulnerabili ad attacchi di forza bruta condotti offline.
Utilizzando questa debolezza, gli aggressori sono stati in grado di generare milioni di possibili combinazioni di parole in modalità offline, confrontando poi gli indirizzi Bitcoin derivati con quelli visibili sulla blockchain pubblica. Una volta trovata una corrispondenza, gli hacker hanno ottenuto il controllo totale delle chiavi private, permettendo loro di trasferire i fondi senza che i legittimi proprietari potessero intervenire in alcun modo. La gravità del difetto è tale che qualsiasi utente che abbia generato il proprio portafoglio su un dispositivo con firmware vulnerabile è potenzialmente a rischio, anche se il dispositivo non è mai stato connesso direttamente a Internet.
Coinkite ha emesso un comunicato ufficiale specificando i modelli e le versioni a rischio. I dispositivi coinvolti includono il Coldcard Mk2 e Mk3 con versioni firmware comprese tra la 4.0.1 e la 4.1.9, i modelli Mk4 e Mk5 con versioni precedenti alla standard 5.6.0 o alla versione Edge 6.6.0X, e il nuovissimo modello Q con versioni precedenti alla standard 1.5.0Q o alla versione Edge 6.6.0QX. Per arginare il danno e dimostrare il proprio impegno verso la sicurezza, l'azienda ha dichiarato di aver distrutto tutti gli stock di magazzino contenenti i firmware difettosi prima che potessero essere spediti ai clienti. Restano invece esclusi dal problema i dispositivi TAPSIGNER, OPENDIME e SATSCARD, che utilizzano una base di codice differente e non sono stati intaccati dall'errore di integrazione RNG.
L'incidente solleva questioni fondamentali sulla sicurezza dell'hardware cold storage in un'epoca in cui gli attacchi diventano sempre più sofisticati. Gli esperti suggeriscono che, per chiunque possieda un dispositivo potenzialmente vulnerabile, la procedura necessaria sia la generazione di una nuova seed phrase su un firmware aggiornato e il trasferimento immediato dei fondi. Tuttavia, resta il trauma di un furto da 118 milioni di dollari che sottolinea come, nonostante i progressi tecnologici del 2026, la sicurezza assoluta rimanga un obiettivo difficile da raggiungere. La comunità internazionale dei ricercatori di sicurezza sta ora spingendo per audit più rigorosi e frequenti sui firmware dei dispositivi hardware, chiedendo trasparenza totale sui processi di integrazione crittografica per evitare che errori simili possano ripetersi in futuro, minando la sovranità finanziaria di migliaia di utenti in tutto il mondo.
