Coinkite ha pubblicato un avviso per gli utenti Coldcard Mk3: alcuni seed creati con firmware dalla versione 4.0.1 alla 5.0.3 potrebbero esporre i fondi a rischio. L’allerta segue movimenti coordinati di circa 594 Bitcoin.
Quali Coldcard Mk3 sono coinvolte
L’avviso riguarda chi ha generato un seed su Coldcard Mk3 con firmware dalla 4.0.1, diffusa nel marzo 2021, fino alla 5.0.3, ultima release compatibile con il modello. Coinkite sta ancora indagando e non ha confermato un collegamento diretto tra l’allerta e i trasferimenti osservati on-chain.
Il 30 luglio, circa 594 BTC, valutati quasi 38 milioni di dollari, sono stati spostati da circa 500 indirizzi a firma singola nell’arco di circa 25 minuti. Molti di questi wallet risultavano inattivi da anni e avevano saldi generalmente compresi tra 0,15 e 0,26 Bitcoin.
Il problema ipotizzato riguarda il seed
Le analisi iniziali guardano a una possibile insufficiente casualità nella generazione dei seed su vecchie versioni di firmware Mk2 e Mk3. Non è stata accertata una compromissione della supply chain, né Coinkite ha indicato una causa definitiva. Indagine aperta, quindi.
Il CEO di Coinkite, Rodolfo Novak, ha dichiarato: «Siamo tutti al lavoro per analizzare a fondo ogni aspetto; a breve pubblicheremo un post tecnico». L’azienda ha precisato che i modelli Mk4, Q e Mk5 non sembrano coinvolti secondo le verifiche preliminari.
Il comunicato ufficiale di Coinkite è visionabile cliccando qui.
Cosa fare se si usa un Mk3
Gli utenti con wallet Mk3 privi di passphrase dovrebbero considerare la migrazione urgente verso un nuovo seed generato con un dispositivo non interessato. Coinkite suggerisce di procedere con calma, effettuando prima una piccola transazione di prova e controllando il nuovo indirizzo direttamente sul display del dispositivo.
Una passphrase BIP-39, distinta dal PIN, appare invece associata a un rischio minimo nelle prime analisi della società. Per chi possiede soltanto un Mk3, Coinkite indica due misure temporanee: aggiungere una passphrase forte e unica, oppure creare un seed attraverso la funzione “dice-roll”, che non dipende dal generatore casuale del dispositivo.
A nostro avviso, questa vicenda ricorda una regola essenziale dell’autocustodia: la sicurezza non termina quando si acquista un hardware wallet. Il seed resta il vero cuore del sistema. In Italia, dove cresce l’interesse per la custodia diretta di Bitcoin, fidarsi è bene, “verificare” è meglio. Un backup corretto e una procedura verificata contano quanto il dispositivo.
