Circa 594 bitcoin — quasi 38 milioni di dollari — sono spariti in meno di mezz’ora. Tra le 01:31 e le 01:56 UTC del 31 luglio 2026, un attaccante ha svuotato circa 500 wallet single-signature in una finestra di tre blocchi, sfruttando una falla nel modo in cui alcuni dispositivi COLDCARD generavano le chiavi crittografiche. La vulnerabilità seed Coinkite, ora pubblica, trasformava seed teoricamente impossibili da indovinare in sequenze prevedibili — e qualcuno lo sapeva già.
Summary
Punti chiave
- Il bug nel generatore di numeri casuali è stato introdotto con il firmware 4.0.0 di marzo 2021 e colpisce tutti i seed generati su Mk3 dalla versione 4.0.1 in poi.
- I seed prodotti dai dispositivi vulnerabili hanno circa 72 bit di entropia invece dei 128 attesi, rendendoli molto più facili da forzare.
- Anche Mk4, Mk5 e Q sono interessati prima delle versioni firmware corrette (5.6.0 per Mk4/Mk5, 1.5.0Q per Q).
- TAPSIGNER, OPENDIME e SATSCARD non sono coinvolti perché usano codebase differenti.
- Chi aveva aggiunto almeno 50 lanci di dado indipendenti durante la creazione del seed è protetto dal bug RNG.
Cosa è andato storto nel firmware Mk3
Il team di ingegneria e sicurezza Bitcoin di Block ha ricostruito la catena degli eventi: una impostazione di build diceva al dispositivo di saltare il proprio generatore hardware di casualità, e un controllo nella libreria di supporto verificava solo se quell’impostazione esistesse, non se fosse attiva. Il risultato era che la generazione delle chiavi scivolava silenziosamente su un sostituto software, alimentato dal numero seriale del chip e dai registri di clock.
Nessuno di questi valori è segreto. Il numero seriale è metadato fisso di fabbrica; i valori di clock sono misurabili o ricostruibili con un dispositivo identico. Block ha tracciato la modifica a un commit del 1° marzo 2021, rilasciato con il firmware 4.0.0 di quel mese.
Il furto ha mosso 1.324 transazioni distribuite su circa 500 wallet, con 562 BTC poi consolidati in un singolo indirizzo che non si è ancora mosso. Ogni wallet svuotato era single-signature e deteneva più di 0,15 BTC. Molti erano dormienti da anni, con monete datate tra il 2021 e il 2026 — una corrispondenza quasi perfetta con l’arco temporale del bug.
Portata del problema e dispositivi coinvolti
La vulnerabilità non riguarda solo Mk3. Anche i seed generati su Mk4 e Mk5 prima della versione 5.6.0, e su Q prima della versione 1.5.0Q, soffrono dello stesso difetto, anche se Coinkite descrive l’impatto su questi modelli come meno grave rispetto a Mk3. Il criterio decisivo non è quando è stato acquistato il dispositivo, ma quale firmware era installato nel momento in cui il seed è stato creato.
TAPSIGNER, OPENDIME e SATSCARD non sono toccati: usano codebase completamente diverse e il bug non è presente nei loro stack.
Perché 72 bit di entropia sono un problema serio
Un seed crittografico da 128 bit rappresenta uno spazio di possibilità così vasto da rendere la ricerca esaustiva praticamente impossibile con qualsiasi hardware esistente. Scendere a 72 bit non significa dimezzare la sicurezza: significa ridurla di miliardi di miliardi di volte. È la differenza tra una cassaforte con combinazione a miliardi di cifre e un lucchetto con quattro numeri.
È qui che il bug diventa concretamente pericoloso: chi conosce la struttura del generatore difettoso può costruire un attacco mirato, restringendo lo spazio di ricerca a un sottoinsieme molto più piccolo. L’attacco del 31 luglio dimostra che questo non è più teorico.
Chi è al sicuro: il ruolo dei lanci di dado
Il firmware COLDCARD, anche nelle versioni affette, combinava l’entropia del dispositivo con ogni lancio di dado inserito manualmente tramite la funzione “Add Dice Rolls”. Questo significa che l’entropia aggiuntiva fornita dall’utente sopravvive al bug RNG.
Le soglie concrete indicate da Coinkite:
- 50–98 lanci indipendenti e privati: l’input dei dadi da solo contribuisce almeno 128 bit di entropia — il seed non è a rischio per questo bug.
- 99 o più lanci: l’entropia sale ad approximately 256 bit.
- Meno di 50 lanci, o incertezza sul numero: seguire le istruzioni di migrazione.
La condizione è che i lanci siano stati davvero indipendenti, privati e non registrati digitalmente. In caso di dubbio, la migrazione rimane necessaria.
Come proteggere i fondi: le opzioni disponibili
Coinkite distingue tra misure immediate e migrazione definitiva. Le due non si escludono, ma la seconda è quella raccomandata.
La passphrase BIP-39 come barriera temporanea
Se il seed Mk3 affetto è stato usato con una passphrase BIP-39 forte e unica, quella passphrase aggiunge una barriera indipendente. La sicurezza effettiva dipende però dalla qualità della passphrase: una frase breve, comune, citata da un testo noto o riutilizzata da altri account non offre protezione adeguata e non va considerata sufficiente.
Anche con una passphrase robusta, Coinkite raccomanda di migrare verso un seed nuovo appena possibile. La passphrase va protetta con la stessa cura del seed: non va mai inserita su computer, telefoni o siti web.
Per chi non ha accesso immediato a un altro dispositivo, il percorso suggerito è creare una nuova passphrase sul Mk3, spostare i fondi dal wallet originale al nuovo wallet protetto da passphrase, e trattare questo come misura transitoria. Il processo richiede attenzione: ogni passphrase — anche con un solo errore di battitura — genera un wallet valido ma diverso. Verificare sempre l’XFP (fingerprint a otto cifre) prima di inviare fondi.
Opzione avanzata: seed generato solo con dadi su firmware Mk3 4.1.9
Gli utenti esperti che hanno solo un Mk3 disponibile possono creare un seed sostitutivo senza usare affatto il generatore difettoso. Su un Mk3 vuoto con firmware 4.1.9, selezionando “Import Existing > Dice Rolls” e inserendo almeno 99 lanci indipendenti di un dado equilibrato a sei facce, il dispositivo usa direttamente la sequenza dei lanci senza coinvolgere il generatore RNG. Il percorso normale “New Wallet” va evitato se l’obiettivo è escludere il generatore difettoso.
Questa procedura è avanzata. Una migrazione su dispositivo singolo richiede di alternare con cura tra il vecchio e il nuovo seed, verificare ogni backup scritto e l’XFP corrispondente, e inviare prima una piccola transazione di test prima di spostare il resto. La sequenza dei lanci di dado è materiale segreto: non va mai fotografata, salvata digitalmente o inserita su computer connessi alla rete.
Migrazione su Mk4, Mk5 e Q: i requisiti firmware
Prima di usare questi modelli per generare un seed sostitutivo, è indispensabile aggiornare il firmware. Mk4 e Mk5 richiedono la versione 5.6.0 o successiva; Q richiede la versione 1.5.0Q o successiva. Solo dopo aver confermato l’installazione della versione corretta ha senso procedere alla generazione di un nuovo seed.
Il processo raccomandato è sequenziale: generare il nuovo seed, registrare e verificare il backup prima di depositare qualsiasi fondo, verificare un indirizzo di ricezione sullo schermo del dispositivo, inviare una piccola transazione di test e confermare il funzionamento del nuovo wallet. Solo dopo spostare i fondi rimanenti. Il vecchio backup va conservato fino al completamento e alla conferma dell’intera migrazione.
Coinkite ha precisato che le indagini sono ancora in corso e che ulteriori dettagli seguiranno. Block, che ha scoperto e comunicato il bug a Coinkite, ha scelto di pubblicare la propria analisi senza attendere una conferma completa dell’exploitabilità perché lo sfruttamento era già in atto. Entrambe le aziende descrivono le proprie analisi come preliminari.
L’attacco ha avuto un impatto minimo sul prezzo di Bitcoin, che nelle ore successive si manteneva sopra i 64.000 dollari. Ma per chi deteneva fondi nei wallet colpiti, la finestra si è chiusa in 25 minuti.
FAQ
Quali dispositivi Coinkite sono interessati dalla vulnerabilità nell’entropia del seed?
I dispositivi Mk3 con firmware versione 4.0.1 o successiva sono interessati. Anche Mk4 e Mk5 prima della versione 5.6.0, e Q prima della versione 1.5.0Q, presentano il problema, con un impatto descritto come meno grave ma comunque serio.
Come possono gli utenti proteggere i propri fondi se hanno usato un dispositivo vulnerabile?
La misura principale è migrare i fondi verso un seed nuovo generato su dispositivi con firmware corretto. Come misura transitoria, si può usare una passphrase BIP-39 forte e unica. Chi aveva inserito almeno 50 lanci di dado indipendenti durante la creazione del seed originale non è a rischio per questo specifico bug.
Tutti i cold wallet Coinkite sono coinvolti?
No. TAPSIGNER, OPENDIME e SATSCARD non sono interessati perché usano codebase differenti da quelle della famiglia COLDCARD.
Cosa deve fare chi ha solo un Mk3 a disposizione?
Gli utenti esperti possono creare un seed basato esclusivamente sui lanci di dado su un Mk3 con firmware 4.1.9, inserendo almeno 99 lanci indipendenti tramite il percorso “Import Existing > Dice Rolls”. In alternativa, usare una passphrase BIP-39 robusta come misura temporanea, in attesa di migrare su un dispositivo con firmware corretto.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
