Il produttore svizzero di hardware wallet BitBox ha corretto in tempo una vulnerabilità firmware che avrebbe potuto svuotare i portafogli di chi custodisce bitcoin, intervenendo prima che qualcuno riuscisse a sfruttarla davvero. La notizia arriva a poche settimane da un caso ben più drammatico: il bug nel firmware di Coldcard, che ha già causato il furto confermato di oltre 115 milioni di dollari in bitcoin. Due episodi legati allo stesso tipo di rischio, ma con esiti radicalmente diversi.
Summary
Punti chiave
- BitBox ha individuato e corretto vulnerabilità severe nel firmware della sua edizione Multi, prima che venissero sfruttate.
- Nessuna segnalazione di fondi rubati agli utenti BitBox: basta aggiornare il firmware tramite la BitBoxApp ufficiale.
- Il bug di Coldcard, attivo dalla versione firmware 4.0.1 di marzo 2021, ha generato seed phrase deboli e prevedibili.
- Secondo Galaxy Research gli hacker hanno già rubato oltre 115 milioni di dollari in bitcoin sfruttando quel difetto.
BitBox corregge una grave vulnerabilità nel firmware
BitBox ha comunicato agli utenti di aver risolto “vulnerabilità severe” individuate nel firmware del proprio hardware wallet, precisando che nessun fondo è stato sottratto. L’azienda ha comunque invitato tutti a procedere con cautela nell’aggiornamento, segno che il rischio, per quanto neutralizzato, era reale.
Dettagli sulla vulnerabilità e modelli coinvolti
In un post pubblicato martedì, la società svizzera ha spiegato che uno dei problemi avrebbe permesso a un attaccante di manipolare gli utenti inducendoli a installare firmware malevolo, apertura che in teoria poteva portare a un furto di fondi. Un secondo difetto “severo”, legato a un problema di corruzione della memoria, avrebbe potuto consentire l’esecuzione di codice arbitrario e, di conseguenza, l’installazione di firmware compromesso. BitBox ha chiarito che il problema riguardava esclusivamente l’edizione Multi del dispositivo: l’edizione Bitcoin-only non è stata toccata, perché il suo firmware non contiene il codice interessato.
Istruzioni per l’aggiornamento del firmware da parte degli utenti
BitBox ha invitato gli utenti ad aggiornare il firmware esclusivamente tramite la BitBoxApp ufficiale, idealmente cliccando sul prompt di aggiornamento integrato nell’app piuttosto che cercarlo altrove. “Non ci sono segnalazioni di fondi rubati agli utenti e non c’è motivo di panico”, ha scritto l’azienda, raccomandando comunque a tutti di installare l’ultima versione del firmware, che risolve i problemi di sicurezza descritti. A differenza di quanto accaduto con Coldcard, chi possiede un BitBox non deve spostare né migrare i propri fondi: è sufficiente completare l’aggiornamento.
Bug firmware Coldcard causa enorme furto di Bitcoin
Mentre BitBox chiudeva la falla senza conseguenze, la comunità Bitcoin sta ancora facendo i conti con un caso ben più grave: il furto sistematico di fondi dai portafogli Coldcard, prodotti dall’azienda canadese Coinkite, innescato da un bug nella generazione del seed.
Difetto nella generazione del seed e cronologia
Il problema risale alla versione firmware 4.0.1, rilasciata nel marzo 2021: da quel momento, la generazione del seed nei dispositivi Coldcard Mk3 è finita per appoggiarsi a un debole generatore software di numeri pseudo-casuali (PRNG) invece che al generatore hardware vero e proprio. Questo ha reso i seed prevedibili, permettendo agli hacker di indovinarli e ricostruire le seed phrase degli investitori.
Impatto e avvisi ufficiali
Coinkite ha avvisato per la prima volta gli utenti il 31 luglio, esortandoli a spostare immediatamente i fondi dai dispositivi coinvolti. Nonostante l’allarme, il numero di fondi sottratti è cresciuto progressivamente, perché i criminali hanno continuato a colpire anche dispositivi più recenti. Secondo le ultime stime di Galaxy Research, il totale confermato ha già superato i 115 milioni di dollari in bitcoin, con la possibilità che la cifra reale sia ancora più alta.
Confronto sui rischi e le risposte nella sicurezza degli hardware wallet
I due episodi mostrano quanto la stessa categoria di rischio, un difetto nel firmware, possa produrre esiti completamente diversi in base alla rapidità della risposta e alla natura del bug.
Differenze nell’ambito delle vulnerabilità e le soluzioni adottate
Nel caso BitBox, la vulnerabilità è stata trovata e corretta prima che qualcuno la sfruttasse: la soluzione richiede soltanto un aggiornamento del firmware, senza toccare i fondi già custoditi. Nel caso Coldcard, invece, il difetto ha compromesso la generazione stessa delle chiavi private per anni, rendendo insufficiente il semplice aggiornamento: chi ha generato un seed con firmware vulnerabile deve migrare i fondi verso un nuovo portafoglio con chiavi generate correttamente, perché il danno riguarda le chiavi già create, non solo il software in esecuzione.
Conseguenze sulla sicurezza di Bitcoin e il self-custody
Questa distinzione conta moltissimo per chi crede nella custodia autonoma dei propri bitcoin. Un aggiornamento tempestivo, come quello di BitBox, dimostra che il modello di sicurezza degli hardware wallet può funzionare se i produttori individuano e correggono i problemi prima che vengano sfruttati. Il caso Coldcard, al contrario, mostra il rovescio della medaglia: un difetto radicato nella generazione del seed può restare silente per anni, fino a trasformarsi in una perdita concreta di centinaia di milioni di dollari quando qualcuno lo scopre e lo sfrutta su larga scala. Per il settore degli hardware wallet, la lezione è che la sicurezza del firmware non è un dettaglio tecnico secondario, ma la base stessa su cui si fonda la promessa del self-custody.
FAQ
Quale vulnerabilità è stata trovata nel portafoglio hardware BitBox?
BitBox ha scoperto vulnerabilità severe nel firmware della sua edizione Multi, che avrebbero potuto permettere l’installazione di firmware malevolo e il conseguente furto di fondi.
Gli utenti BitBox devono migrare i propri fondi dopo la scoperta della vulnerabilità?
No. Gli utenti devono soltanto aggiornare il firmware tramite la BitBoxApp ufficiale; non è necessaria alcuna migrazione dei fondi.
Cosa è successo con la vulnerabilità del portafoglio hardware Coldcard?
Un bug nel firmware Coldcard, presente a partire dalla versione 4.0.1, ha causato una generazione debole dei seed, permettendo agli hacker di rubare oltre 115 milioni di dollari in bitcoin.
Quali consigli ha dato Coinkite agli utenti Coldcard?
Coinkite ha esortato gli utenti Coldcard a spostare immediatamente i propri fondi a causa della vulnerabilità nella generazione dei seed.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
