Un bug rimasto silenzioso per oltre quattro anni si è trasformato nel più grande furto della storia dei wallet hardware. La violazione dei wallet Coldcard ha permesso a un gruppo di hacker di sottrarre più di 1.778 Bitcoin da oltre 8.600 indirizzi, sfruttando un difetto introdotto nel firmware già a marzo 2021. Le perdite confermate ammontano a 112,7 milioni di dollari ai prezzi attuali.
Summary
Punti chiave
- Un bug nel firmware Coldcard, presente dal marzo 2021, ha permesso di svuotare oltre 1.778 Bitcoin da più di 8.600 indirizzi.
- La causa è la versione 4.0.1 del firmware, che ha dirottato la generazione delle seed phrase verso un generatore software prevedibile.
- Gli attaccanti avrebbero usato modelli di intelligenza artificiale senza restrizioni di sicurezza informatica per individuare e sfruttare la falla.
- Coinkite ha rilasciato un avviso il 30 luglio e una patch già il 31 luglio 2026, ma chi ha generato una seed phrase su firmware vulnerabile deve crearne una nuova.
- Nessun furto è stato registrato dai wallet multisignature, che restano l’opzione più sicura contro questo tipo di attacco.
Panoramica sulla violazione del firmware Coldcard
Questa è, a oggi, la più grande violazione mai registrata contro un wallet hardware per Bitcoin. Il difetto, nascosto nel codice da marzo 2021, ha colpito diversi modelli Coldcard, tra cui Mk2, Mk3, Mk4, Q e Mk5, e ha reso vulnerabili le chiavi generate su quei dispositivi per anni prima di essere scoperto e sfruttato su larga scala.
Gli attacchi sono partiti il 30 luglio 2026. In appena 41 minuti, gli hacker hanno prosciugato oltre 1.000 Bitcoin da più di 1.000 indirizzi, un ritmo che testimonia quanto fosse automatizzato e coordinato lo sfruttamento della falla. Nessuna attività riconducibile agli attaccanti è stata registrata dopo il 6 agosto, segno che l’ondata principale del furto si è già conclusa.
La causa: la versione 4.0.1 del firmware
Alla radice del problema c’è un aggiornamento firmware distribuito da Coinkite nella versione 4.0.1, che ha involontariamente dirottato il processo di generazione delle seed phrase da un generatore di numeri casuali basato su hardware a uno basato su software. Un generatore software è molto più prevedibile, e questo ha reso le chiavi generate più facili da indovinare o replicare per chi conosceva il difetto. Secondo alcune segnalazioni, un problema collegato era stato riportato a Coinkite già a maggio 2025, ma la falla è rimasta senza patch per un tempo sufficiente a permettere agli attaccanti di costruire e distribuire strumenti capaci di sfruttarla su larga scala.
Il ruolo dell’intelligenza artificiale tra attacco e difesa
L’aspetto più inquietante di questa vicenda riguarda il ruolo giocato dall’intelligenza artificiale su entrambi i fronti dello scontro. Galaxy Research ha valutato con alta probabilità che almeno alcuni attaccanti abbiano usato modelli di AI privi di restrizioni sulla cybersicurezza per individuare e sfruttare il difetto nel firmware, citando come esempio il modello open source Kimi K3, recentemente rilasciato.
Sul fronte opposto, però, chi doveva difendere gli utenti si è trovato con le mani legate. Rob Hamilton, chief executive di Anchorwatch, ha spiegato che le politiche di sicurezza adottate dai principali laboratori AI statunitensi hanno in gran parte impedito ai ricercatori di sicurezza di usare gli stessi strumenti per contrastare l’attacco. Il risultato, secondo Hamilton, è che i difensori si sono ritrovati a dover affidarsi agli stessi modelli open source cinesi usati dagli attaccanti, con un evidente svantaggio di tempo e capacità.
Questo squilibrio è un punto che merita attenzione oltre il singolo caso Coldcard: se le regole di sicurezza pensate per limitare gli usi malevoli dell’AI finiscono per rallentare soprattutto chi cerca di difendersi, il settore della sicurezza informatica crypto rischia di trovarsi sistematicamente in ritardo rispetto agli attaccanti, che di regole non ne seguono.
Il Bitcoin Red Team entra in scena
In risposta a questo gap, Hamilton e un gruppo di circa 25 persone, tra cui lo sviluppatore James O’Beirne e Calle del progetto Cashu, hanno formato quello che chiamano Bitcoin Red Team. Il collettivo ha iniziato a scandagliare i repository di codice dell’intero ecosistema Bitcoin in cerca di vulnerabilità simili, con l’obiettivo di segnalare e correggere eventuali falle prima che vengano sfruttate da altri.
La risposta di Coinkite e le mosse necessarie per proteggere i fondi
Coinkite ha reagito rapidamente una volta emersa la portata del problema: un avviso di sicurezza è stato pubblicato il 30 luglio e il firmware corretto è stato distribuito già il giorno seguente, il 31 luglio 2026. Il CEO dell’azienda, Rodolfo Novak, ha rilasciato delle scuse pubbliche per l’accaduto.
Il patch, però, non basta da solo a proteggere chi possiede un Coldcard. Qualsiasi seed phrase generata su firmware vulnerabile resta compromessa per sempre, indipendentemente dagli aggiornamenti successivi. Gli utenti devono generare una seed phrase completamente nuova sul firmware aggiornato e trasferire tutti i fondi verso nuovi wallet, abbandonando definitivamente le chiavi generate in precedenza.
Wallet multisignature: gli unici rimasti illesi
Un dato emerge con chiarezza da questa vicenda: nessun furto è arrivato da un wallet multisignature. Le configurazioni multisig richiedono più di una chiave per autorizzare una transazione, il che significa che una singola seed compromessa non è sufficiente per muovere i fondi. È probabilmente la lezione più concreta che l’intero settore trarrà da questo episodio: affidarsi a più chiavi indipendenti resta la barriera più efficace anche contro falle nascoste nel firmware.
Dove sono finiti i Bitcoin rubati
Dei 1.778 Bitcoin confermati come rubati, la maggior parte, 1.531 Bitcoin, resta ancora immobile in indirizzi controllati dagli attaccanti. Circa 246 Bitcoin sono invece già stati mossi: il 65% attraverso transazioni di mixing Coinjoin, il restante 35% con metodi on-chain pensati per rendere più difficile seguire la traccia dei fondi.
Galaxy Research ha condiviso gli indirizzi wallet degli attaccanti con exchange, società di compliance e forze dell’ordine, nella speranza che i fondi possano essere congelati qualora raggiungano piattaforme centralizzate. Per collocare la portata del danno, il furto si posiziona al ventesimo posto tra tutti i furti crypto mai registrati, appena sotto la perdita di 130 milioni di dollari subita da Multichain nel luglio 2023 e sopra i 100 milioni sottratti dal bridge Horizon di Harmony nel giugno 2022.
FAQ
Come è nata la vulnerabilità dei wallet Coldcard?
Un aggiornamento firmware nella versione 4.0.1 ha dirottato la generazione delle seed phrase da un generatore hardware di numeri casuali a un generatore software prevedibile, rendendo le chiavi più facili da indovinare o riprodurre.
Che ruolo ha avuto l’AI nella violazione Coldcard?
Gli attaccanti avrebbero usato modelli di intelligenza artificiale senza restrizioni sulla cybersicurezza per individuare e sfruttare il difetto nel firmware, mentre le politiche di sicurezza dei laboratori AI statunitensi hanno impedito ai difensori di usare strumenti simili per contrastare l’attacco.
Cosa devono fare ora gli utenti Coldcard per proteggere i fondi?
Gli utenti devono generare una nuova seed phrase sul firmware aggiornato e trasferire tutti i fondi verso nuovi wallet, dato che qualsiasi seed generata su firmware vulnerabile resta compromessa in modo permanente.
I wallet Coldcard multisignature sono al sicuro da questo attacco?
Sì: nessun furto è stato registrato dai wallet multisignature, che richiedono più chiavi per autorizzare una transazione e offrono quindi una protezione superiore rispetto ai wallet a chiave singola.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
