Una vulnerabilità nel firmware di Coldcard ha permesso il furto di oltre 1.778 BTC, pari a circa 112 milioni di dollari. Gli attacchi sono iniziati il 30 luglio 2026 e hanno colpito più di 8.600 indirizzi. La società produttrice Coinkite ha rilasciato aggiornamenti correttivi.
Il meccanismo dell’attacco e le perdite confermate
La vulnerabilità risiede nel generatore di numeri casuali del firmware Coldcard, che in alcuni casi produceva seed phrase prevedibili anziché casuali. Il difetto era presente dal marzo 2021, quando Coinkite aveva distribuito l’aggiornamento firmware versione 4.0.1. La falla è rimasta nascosta per oltre cinque anni.
Gli attacchi sono iniziati il 30 luglio 2026 e si sono concentrati in almeno tre ondate principali. Secondo Galaxy Research, il totale confermato ammonta a 1.778,84 BTC, equivalenti a circa 112,7 milioni di dollari, prelevati da più di 8.600 indirizzi. Gli aggressori hanno utilizzato almeno 15 cluster di indirizzi distinti per muovere i fondi rubati.
Inizialmente, le stime parlavano di circa 38 milioni di dollari rubati. Man mano che i ricercatori identificavano nuovi indirizzi compromessi, il totale è salito. Galaxy Research ha contattato direttamente 190 vittime per confermare le perdite e ha segnalato che non sono stati registrati nuovi attacchi ad alta confidenza dal 6 agosto.
Chi è a rischio e cosa fare
La vulnerabilità riguarda i seed phrase generati su dispositivi Coldcard con firmware rilasciato da marzo 2021 in poi, compresi i modelli Mk3, Mk4, Mk5 e Q. Il rischio non dipende dal dispositivo in sé, ma dal seed generato su quel firmware specifico.
Coinkite ha rilasciato aggiornamenti correttivi per tutti i modelli interessati: Mk3 v4.2.0, Mk4 e Mk5 v5.6.0, Q v1.5.0Q. Per i dispositivi con firmware Edge, le versioni corrette sono v6.6.0X per Mk4/Mk5 e v6.6.0QX per Q. Gli utenti che hanno generato seed su firmware vulnerabili devono aggiornare il dispositivo, creare un nuovo seed e trasferire tutti i fondi agli indirizzi derivati dal nuovo seed.
Gli aggiornamenti firmware da soli non proteggono i fondi già esposti. Se il seed originale è stato generato su firmware vulnerabile, i fondi restano a rischio anche dopo l’aggiornamento. È necessario trasferire i Bitcoin a un nuovo wallet con seed generato su firmware corretto.
Le implicazioni per la custodia self-custody
Il caso Coldcard pone questioni serie sulla sicurezza della custodia autonoma. I dispositivi hardware sono considerati lo standard per la protezione dei Bitcoin, ma la vulnerabilità dimostra che anche le soluzioni più affidabili possono nascondere difetti critici per anni.
Il punto è il contrasto tra la promessa di sicurezza assoluta e la realtà dei sistemi complessi. Chi custodisce criptovalute in proprio sa che la responsabilità è totale, ma anche che i produttori devono garantire l’integrità del proprio software. Come si suol dire, chi è causa del suo mal pianga se stesso, ma qui la colpa è di chi ha distribuito un firmware difettoso senza accorgersene per cinque anni.
Il caso Coldcard non condanna la self-custody, ma impone una riflessione sul ciclo di vita dei dispositivi. Gli utenti devono verificare regolarmente gli aggiornamenti di sicurezza e, quando necessario, migrare i fondi. La custodia autonoma resta valida, ma richiede attenzione costante. Non basta acquistare un hardware wallet e dimenticarsene.
