Coinkite ha diffuso un avviso di sicurezza per tutti i possessori di Coldcard Mk3: i seed generati sul dispositivo dal marzo 2021 in poi potrebbero essere a rischio, e l’azienda invita a spostare i fondi. L’allarme arriva dopo che nella notte di giovedì 30 luglio 2026 un’operazione automatizzata ha svuotato 500 indirizzi Bitcoin in poco più di quindici minuti, per un totale di 594,5 BTC — circa 38,2 milioni di dollari al prezzo del momento della stesura — secondo l’analisi on-chain di Atlas21. La causa tecnica, però, non è ancora accertata — e l’advisory di Coinkite, letto parola per parola, dice molto meno di quanto i titoli lascino intendere.
Cosa dice davvero l’advisory di Coinkite (e cosa non dice)
Il testo pubblicato sul blog ufficiale di Coinkite è breve e prudente. L’azienda avvisa «per eccesso di cautela» chiunque abbia generato un seed su un Mk3 con la versione firmware 4.0.1 (marzo 2021) o successive che «i fondi potrebbero essere a rischio». Il problema è presente fino alla 5.0.3, l’ultima release che supportava quel modello. Mk4, Q e Mk5 non risultano interessati, sempre «sulla base della nostra analisi preliminare».
Qui sta il punto che vale la pena isolare. Nell’intero advisory non compaiono mai le parole «difetto», «vulnerabilità» né «entropia»: Coinkite si limita a parlare di the issue, «il problema». Il generatore di numeri casuali del dispositivo — il componente che produce la casualità da cui nasce il seed — viene citato appena tre volte, una come random-number generator e due come device generator, e sempre e solo nella sezione dedicata alla procedura d’emergenza con i dadi: mai come causa accertata, sempre come componente da escludere.
Coinkite spiega infatti che su un Mk3 vuoto con firmware 4.1.9 è possibile creare un seed sostitutivo «senza usare il suo generatore di numeri casuali», scegliendo Import Existing > Dice Rolls e inserendo almeno 99 lanci indipendenti di un dado a sei facce. E aggiunge un’avvertenza esplicita: «Non usare il normale flusso New Wallet se il tuo obiettivo è escludere il generatore del dispositivo». L’azienda, insomma, non ha confermato un difetto dell’RNG: ha spiegato ai clienti come aggirarlo. La differenza non è formale, perché stabilisce quanto sia ancora aperta l’indagine — «una revisione tecnica formale sarà rilasciata appena possibile», si legge in chiusura.
Il tono, in poche ore, è cambiato parecchio. Secondo la ricostruzione di Atlas21, alle 18:10 UTC del 30 luglio NVK, fondatore e amministratore delegato di Coinkite, aveva risposto alle prime segnalazioni con un messaggio su X — da allora cancellato dall’autore, ma riportato per esteso nella ricostruzione di Atlas21 — che attribuiva l’accaduto a un errore degli utenti: «Nessun bisogno di farsi prendere dal panico: qualcuno ha caricato un seed compromesso su un Coldcard e/o il suo seed è trapelato». L’advisory aziendale, che invece riconosce un rischio proprio sui seed generati dal dispositivo, non era ancora stato pubblicato quando Atlas21 chiudeva la sua ricostruzione: a quel punto, annotava, «non esiste alcuna prova di un difetto nel generatore di numeri casuali di Coldcard».
Quindici minuti, quattro blocchi: la ricostruzione on-chain
La dinamica del furto è invece documentata sulla blockchain, quindi verificabile da chiunque. La redazione di BitcoinLive24 ha ricontrollato i quattro blocchi indicati dagli analisti direttamente sulle API pubbliche di mempool.space: il primo, il numero 960188, riporta l’orario 01:36:08 UTC del 30 luglio; l’ultimo, il 960191, le 01:51:26 UTC. Fra i due estremi corrono 15 minuti e 18 secondi, calcolati sui timestamp dichiarati nei blocchi dai miner — l’unico riferimento temporale che la blockchain registra.
| Blocco | Orario (UTC) | Transazioni totali nel blocco |
|---|---|---|
| 960188 | 01:36:08 | 6.601 |
| 960189 | 01:37:21 | 5.514 |
| 960190 | 01:43:00 | 5.076 |
| 960191 | 01:51:26 | 5.803 |
Dati sui blocchi verificati da BitcoinLive24 su mempool.space. I conteggi indicano il totale delle transazioni contenute in ciascun blocco, non i soli prelievi dell’attaccante.
Dentro quella finestra, secondo l’analisi on-chain pubblicata da Atlas21, sono transitate 500 operazioni che hanno prosciugato 500 indirizzi distinti, per 1.324 UTXO complessivi — gli UTXO sono le singole “monete” non ancora spese che, sommate, formano il saldo di un indirizzo. La struttura è indicativa: una transazione per indirizzo e non una per wallet, uno schema compatibile con chi possiede singole chiavi private ricalcolate anziché seed ricostruiti per intero.
Sempre secondo i conteggi di Atlas21, 419 indirizzi contenevano un solo UTXO, mentre uno ne aveva accumulati 200 e un altro 105 — il profilo tipico di chi riceve acquisti ricorrenti o prelievi automatici da un exchange sempre sullo stesso indirizzo. La perdita mediana per vittima è stata di 0,41 BTC (circa 26.300 dollari al cambio attuale), 110 vittime hanno perso più di 1 BTC e la più colpita 29,9 BTC, cioè circa 1,92 milioni di dollari. Un dettaglio suggerisce una selezione deliberata dei bersagli: nessuna vittima ha perso meno di 0,15 BTC. L’intera operazione è costata all’attaccante circa 0,044 BTC di commissioni.
Il denaro, per ora, è fermo. Abbiamo interrogato mempool.space sull’indirizzo di consolidamento segnalato dagli analisti: risulta una sola transazione in entrata, 562,0196 BTC ricevuti, zero spesi e nulla in mempool. Sono circa 36,1 milioni di dollari immobili. Altri 32 BTC circa si trovano su un indirizzo intermedio, sempre secondo Atlas21, e anch’essi non risultano movimentati: la differenza rispetto al totale sottratto, per nostro calcolo, è di 32,48 BTC. Nessuno spostamento verso exchange o mixer: il primo movimento di quei fondi sarà anche la prima traccia utile su chi controlla le chiavi.
L’ipotesi dell’entropia debole e i precedenti
La prima analisi sistematica citata da Atlas21 è quella di Rob Hamilton, amministratore delegato di AnchorWatch, società di custodia e assicurazione Bitcoin, secondo cui i 1.324 UTXO svuotati risalgono a un arco che va dal 2021 al 2026 e provengono tutti da indirizzi single-sig, cioè spendibili con una sola chiave. La sua conclusione, in un messaggio su X: «A un primo sguardo, sembra che ci sia stata entropia difettosa nella generazione dei wallet da qualche parte lungo il percorso».
È l’ipotesi che spiega meglio i dati. Se le chiavi private nascono da un generatore casuale debole — dentro una libreria software, in un elemento sicuro, in un lotto di produzione o in una specifica versione firmware — un attaccante può ricalcolarle una a una senza mai toccare i dispositivi delle vittime. Non serve un malware, né un accesso fisico: basta restringere abbastanza lo spazio delle possibilità. È un vettore diverso da quello dei furti che abbiamo raccontato in passato, come il malware SparkKitty che sottraeva le seed phrase dalle fotografie, dove il punto debole era l’utente e non la matematica.
Precedenti ce ne sono. Atlas21 ricorda il caso Milk Sad del 2023, che espose i wallet creati con Libbitcoin Explorer usando il timestamp come unica fonte di casualità, e la divulgazione Randstorm sui portafogli generati da browser con BitcoinJS fra il 2011 e il 2015. Il paragone più recente, sempre nella ricostruzione di Atlas21, è Ill Bloom, reso pubblico il 10 luglio 2026 dalla società di sicurezza Coinspect: cinque implementazioni con generazione del seed debole, 5,1 milioni di dollari già sottratti e un prelievo coordinato su 431 wallet il 27 maggio. La somiglianza strutturale con il 30 luglio è evidente, ma va detto con altrettanta chiarezza che Coinspect esclude gli hardware wallet dal perimetro di Ill Bloom e che, allo stato, nessun ricercatore ha collegato i due episodi.
Kevin Loaec, cofondatore di Wizardsardine, ha spinto la teoria un passo oltre parlando di un RNG debole «in una libreria o nell’elemento sicuro stesso», con un attaccante che padroneggia la vulnerabilità ma non conosce a fondo Bitcoin: userebbe uno script «scritto con l’AI» capace di derivare solo percorsi BIP84 (native segwit) fino a una profondità limitata. Sarebbe la spiegazione dei furti parziali segnalati da Jameson Lopp, cioè wallet svuotati solo di alcuni UTXO. I numeri di Atlas21 confermano il quadro con una sfumatura: 490 dei 500 indirizzi colpiti sono native segwit (il formato che inizia per bc1q), ma ce ne sono anche 5 legacy e 5 nested segwit.
L’unica difesa che ha retto: zero multisig tra le vittime
C’è un dato che nella cronaca di queste ore rischia di passare in secondo piano, ed è forse il più utile. Fra i 1.324 UTXO sottratti non compare un solo indirizzo multisig — quelli che per spendere richiedono più firme, idealmente prodotte da dispositivi di produttori diversi — e nemmeno un indirizzo taproot, il formato più recente introdotto nel 2021 e riconoscibile dal prefisso bc1p.
La conclusione va maneggiata con prudenza, perché il campione dice cosa è stato colpito, non cosa è invulnerabile: finché il vettore resta ignoto, un’assenza non equivale a una prova di sicurezza. Lo riconosce lo stesso Loaec, che avverte come nemmeno la passphrase e la generazione con i dadi siano garanzie certe e raccomanda proprio il multisig, preferibilmente multi-vendor. Resta il fatto che, in un attacco costruito per ricalcolare chiavi singole, la configurazione che moltiplica le chiavi necessarie è l’unica che nei dati non è stata scalfita. È lo stesso ragionamento che sta dietro a strumenti pensati per la gestione distribuita delle chiavi, come il Key Teleport introdotto da Coinkite sul Coldcard Q.
Cosa significa per chi possiede un Coldcard Mk3
La prima cosa da capire è se il proprio dispositivo rientra nel perimetro: conta il modello (solo Mk3) e conta soprattutto dove è stato generato il seed. Un Mk3 su cui siano state importate parole nate altrove non è nella stessa condizione di un Mk3 che quelle parole le ha create.
Chi ha protetto il wallet con una passphrase BIP-39 — una parola o frase aggiuntiva rispetto alle 24 parole, che genera un portafoglio diverso — secondo l’analisi preliminare di Coinkite corre un rischio «minimo». Per gli altri l’azienda indica due strade: migrare verso un seed generato su Mk4, Q o Mk5, oppure, come misura provvisoria, creare sul Mk3 stesso una passphrase forte e unica e spostarci i fondi. Per gli utenti esperti resta la terza via dei 99 lanci di dado.
In tutti i casi Coinkite insiste su un punto che vale più di qualsiasi urgenza: verificare il backup, controllare il fingerprint XFP del nuovo wallet, confermare un indirizzo di ricezione sullo schermo del dispositivo e inviare una transazione di prova prima di muovere il resto. «Affrettare una migrazione può creare un rischio più immediato del problema che si sta cercando di risolvere», scrive l’azienda. È un’avvertenza da prendere sul serio: gli errori commessi di fretta durante uno spostamento di fondi sono storicamente più costosi delle vulnerabilità teoriche.
Vale infine la pena ricordare quanto sia ristretta la platea coinvolta: come abbiamo documentato di recente, l’uso di hardware wallet resta fermo a percentuali a una cifra anche nei mercati più maturi. È un pubblico piccolo, ma è quello che custodisce le somme più rilevanti in autocustodia — la ragione per cui un episodio da 500 indirizzi pesa molto più del suo numero.
Le prospettive
Finché Coinkite non pubblicherà la revisione tecnica annunciata, la catena causale fra l’advisory sul Mk3 e il furto del 30 luglio resta un’ipotesi, per quanto sostenuta dai dati. Le domande aperte sono almeno tre: se il generatore debole sia nel firmware, nell’elemento sicuro o in una libreria condivisa con altri prodotti; se il perimetro sia più ampio del solo Mk3; e se l’attaccante disponga ancora di chiavi non sfruttate. Il prossimo movimento dei 594,5 BTC sottratti — i 562,0196 fermi sull’indirizzo di consolidamento e i circa 32 sull’indirizzo intermedio — e il documento tecnico annunciato da Coinkite sono i due eventi da monitorare.
Per seguire gli aggiornamenti su questa e altre notizie Bitcoin in tempo reale, scarica l’app BitcoinLive24.
Domande frequenti
Quali Coldcard sono interessati dall’avviso di Coinkite?
Solo il modello Mk3, se il seed è stato generato sul dispositivo con firmware dalla versione 4.0.1 di marzo 2021 fino alla 5.0.3, l’ultima che supportava quel modello. Coinkite indica che Mk4, Q e Mk5 non risultano interessati sulla base dell’analisi preliminare.
Coinkite ha confermato un difetto del generatore di numeri casuali?
No. L’advisory parla di fondi che «potrebbero essere a rischio» e di analisi preliminare, e cita il generatore di numeri casuali soltanto per spiegare come escluderlo tramite la generazione con i dadi. L’azienda ha annunciato una revisione tecnica formale, non ancora pubblicata.
Quanti Bitcoin sono stati sottratti e dove si trovano ora?
Sono stati svuotati 500 indirizzi per 1.324 UTXO e 594,5 BTC complessivi, secondo l’analisi on-chain di Atlas21. Sull’indirizzo di consolidamento risultano 562,0196 BTC ricevuti e nessuna uscita, verificati su mempool.space al momento della stesura; i restanti 32 BTC circa si trovano su un indirizzo intermedio, anch’essi non movimentati.
Una passphrase BIP-39 protegge dal problema?
Secondo l’analisi preliminare di Coinkite un seed Mk3 usato con una passphrase BIP-39 espone i fondi a un rischio «minimo». Kevin Loaec di Wizardsardine avverte però che, finché il vettore d’attacco resta ignoto, né la passphrase né i dadi sono garanzie certe.
Perché il multisig viene indicato come difesa?
Perché nei 1.324 UTXO sottratti non compare alcun indirizzo multisig. Non è una prova di invulnerabilità, ma in un attacco basato sul ricalcolo di singole chiavi private una configurazione che richiede più firme, meglio se da dispositivi di produttori diversi, alza sensibilmente la soglia.
Questo articolo non costituisce consulenza finanziaria. I prezzi in dollari sono calcolati al valore di 64.240$ per BTC rilevato al momento della stesura.
Fonte originale: Cointelegraph
