Un errore in una singola riga di codice, scritto nel 2021 e rimasto invisibile per anni, si è trasformato in una delle più grandi rapine crypto del 2026. Il furto bitcoin Coldcard ha già superato i 130 milioni di dollari, colpendo migliaia di possessori di uno dei wallet hardware considerati più affidabili sul mercato. La particolarità di questo caso non è solo la cifra, ma il fatto che le vittime avessero fatto tutto correttamente: seed phrase mai condivise, dispositivi mai collegati a internet, chiavi custodite in cassaforte. Non è bastato.
Summary
Punti chiave
- Un bug firmware introdotto nel marzo 2021 ha reso prevedibile la generazione delle seed phrase sui wallet Coldcard, prodotti da Coinkite.
- La forza crittografica delle chiavi è scesa da 128 bit a soli 40 bit, rendendo possibile il brute force senza accesso fisico al dispositivo.
- Sono state documentate almeno tre ondate di attacco, per un totale di oltre 7.300 wallet compromessi e più di 130 milioni di dollari sottratti.
- TRM Labs stima almeno 15 attori distinti coinvolti, tra cui probabili opportunisti secondari.
- Parte dei fondi rubati è stata instradata verso servizi di privacy come Wasabi e Tornado Cash.
La vulnerabilità del firmware che ha tradito i wallet Coldcard
La falla nasce da un bug firmware introdotto nel marzo 2021, che ha compromesso la casualità con cui i dispositivi Coldcard generavano le seed phrase. Secondo i ricercatori di sicurezza di Block, il problema riguardava un generatore di numeri casuali software prevedibile, usato al posto di quello hardware del chip, con l’effetto di restringere drasticamente lo spazio delle chiavi possibili.
Il risultato tecnico è brutale: la forza crittografica delle chiavi è passata da 128 bit, uno standard considerato sicuro, a soli 40 bit. Con una potenza di calcolo ridotta, chiunque conoscesse il difetto poteva ricostruire offline le chiavi vulnerabili, senza mai toccare fisicamente il dispositivo della vittima. In pratica, gli attaccanti non hanno dovuto forzare la cassaforte: hanno imparato a duplicare le chiavi su scala industriale.
Tre ondate di attacco e migliaia di wallet svuotati
Galaxy Research ha documentato almeno tre distinte campagne di attacco, che hanno complessivamente drenato fondi da 7.300 wallet compromessi. La prima ondata, il 31 luglio, ha sottratto 594 Bitcoin (circa 38 milioni di dollari all’epoca del furto); la ricerca ha poi verificato che le perdite complessive erano salite oltre 1.596 Bitcoin, superando i 100 milioni di dollari.
Le ondate successive hanno mostrato una tecnica in evoluzione: gli attaccanti hanno iniziato a colpire saldi più piccoli, distribuendo i fondi verso destinazioni singole invece che verso pochi indirizzi collettori, e usando formati di output più complessi da tracciare. Una terza ondata individuata da Galaxy Research ha coinvolto 208 Bitcoin sottratti da 1.912 indirizzi in un arco di tempo ristretto, con un guadagno medio per vittima molto più basso rispetto alla prima fase, segno che la parte più “ricca” dello spazio di chiavi vulnerabili è già stata sfruttata. Galaxy Research non è in grado di stabilire con certezza se le tre ondate siano opera dello stesso operatore o di più gruppi che lavorano indipendentemente sullo stesso difetto.
Non è escluso che sia in corso una quarta ondata, capace di far salire ulteriormente il totale. TRM Labs ha individuato variazioni nella metodologia di attacco che suggeriscono il coinvolgimento di almeno 15 attori indipendenti, alcuni dei quali sembrano opportunisti secondari mossi solo dalla scoperta pubblica della falla.
Dove sono finiti i fondi rubati
CertiK ha monitorato i movimenti degli asset compromessi, individuando trasferimenti verso servizi pensati per l’anonimizzazione. Circa 64 Bitcoin, pari a 4,17 milioni di dollari, sono stati indirizzati verso Wasabi, protocollo che rafforza la privacy delle transazioni Bitcoin. Altri 200 Ether, per un valore di circa 380.000 dollari, sono passati attraverso Tornado Cash.
Secondo gli analisti di CertiK, alcune di queste transazioni potrebbero provenire da exploiter più piccoli che hanno seguito l’attacco originale: “Potrebbe trattarsi di un exploiter minore. È probabile che ci siano alcuni copycat dopo l’exploit iniziale”, hanno spiegato. TRM Labs ha inoltre osservato che la maggior parte dei fondi sottratti resta ancora concentrata in un numero limitato di indirizzi controllati dagli attaccanti, un dettaglio che lascia aperta la possibilità di tracciamenti futuri.
La reazione della rete Bitcoin
Secondo Glassnode, gli indirizzi attivi su Bitcoin sono saliti a circa 980.000 transazioni giornaliere nei giorni successivi all’exploit, il livello più alto registrato da dicembre 2024. Glassnode ha sottolineato che l’aumento non riflette entusiasmo di mercato, ma una risposta operativa di sicurezza: possessori di Bitcoin rimasti inattivi per lungo tempo hanno spostato fondi verso wallet più sicuri per timore di essere colpiti a loro volta.
Questo è il punto in cui il caso smette di essere una notizia isolata e diventa un segnale per l’intero ecosistema: quando un fallimento in un singolo prodotto hardware genera un’ondata di movimenti precauzionali su tutta la rete, significa che la fiducia nella sicurezza hardware wallet non è mai data per scontata, nemmeno per i dispositivi considerati “cold” per definizione.
Un altro elemento che pesa sulla percezione del settore riguarda la velocità con cui la falla poteva essere individuata. Haseeb Qureshi, managing partner di Dragonfly, ha osservato che alcuni modelli di intelligenza artificiale sono riusciti a identificare la debolezza in meno di 20 minuti, stimando che pochi dollari di test assistiti da AI avrebbero potuto prevenire l’intero exploit. È un dettaglio che racconta quanto la finestra tra vulnerabilità nota e sfruttamento su larga scala possa essere sorprendentemente breve, se nessuno la controlla per tempo.
Cosa devono fare ora i possessori di Coldcard
Gli esperti di sicurezza sono netti: aggiornare il firmware non basta per chi ha già inizializzato un wallet su un dispositivo interessato dalla falla. La raccomandazione è generare una nuova seed phrase su hardware sicuro e trasferire immediatamente tutti gli asset, azzerando ogni possibile chiave compromessa. Coinkite, produttore di Coldcard, ha pubblicato un avviso agli utenti chiedendo di aggiornare i dispositivi e migrare verso una nuova seed phrase.
Con perdite che collocano questo episodio come il terzo furto crypto più rilevante del 2026, il caso Coldcard entra a far parte di un anno già segnato da oltre 200 attacchi contro società del settore, per un totale di perdite superiore ai 950 milioni di dollari secondo TRM Labs. Resta da vedere quanti dei 7.300 wallet coinvolti riusciranno davvero a mettere in sicurezza gli asset residui prima che una eventuale quarta ondata li raggiunga.
FAQ
Cosa ha causato la violazione dei wallet Coldcard?
Una vulnerabilità firmware introdotta nel marzo 2021 ha ridotto la casualità nella generazione delle seed phrase, abbassando la forza crittografica delle chiavi da 128 a 40 bit e rendendo possibili attacchi brute force.
Quanti wallet Coldcard sono stati compromessi nella violazione?
Almeno 7.300 wallet sono stati compromessi in almeno tre ondate di attacco documentate.
Qual è il valore totale del Bitcoin rubato nel caso Coldcard?
Il furto totale supera i 130 milioni di dollari in Bitcoin, rendendolo il terzo furto crypto più grande del 2026.
Cosa dovrebbero fare gli utenti Coldcard colpiti dalla violazione?
Gli esperti di sicurezza consigliano di sostituire completamente il wallet compromesso con un nuovo hardware e di trasferire tutti gli asset per garantirne la sicurezza.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
