Il furto da 594 bitcoin che ha colpito i portafogli Coldcard non ha toccato un solo indirizzo multisig (a firma multipla), e questo ha spinto molti a concludere che il multisig sia la risposta. La divulgazione tecnica pubblicata da Block il 30 luglio 2026 racconta però una storia più sfumata: le falle riguardano cinque modelli e non solo il Mk3, e un multisig composto esclusivamente da dispositivi vulnerabili resta esposto. Chi cerca una regola pratica sul multisig Bitcoin trova qui una condizione precisa, dettata da Block: serve un quorum di dispositivi sicuri, non semplicemente un numero maggiore di chiavi.
Due falle e cinque modelli: cosa ha ricostruito Block
Block (la società di Jack Dorsey che sviluppa il portafoglio concorrente Bitkey) ha ricostruito la causa tecnica di due vulnerabilità distinte nel firmware Coldcard, dopo le segnalazioni arrivate dagli utenti COLDCARD. Il rapporto tecnico è esplicito sull’ordine dei fatti: «a seguito delle segnalazioni degli utenti COLDCARD, e lavorando insieme ad altri ricercatori di sicurezza», i team di Block hanno individuato la causa profonda. Non una scoperta preventiva, dunque, ma un’analisi forense arrivata dopo il furto.
Entrambi i difetti riguardano la generazione dei numeri casuali da cui nasce la seed (la sequenza di parole che controlla i fondi). Il primo colpisce i modelli Mk2 e Mk3 con firmware dalla versione 4.0.0 alla 4.1.9: il firmware avrebbe dovuto usare il generatore hardware di casualità del chip STM32, ma un errore in una macro di configurazione fa sì che il controllo verifichi soltanto l’esistenza del parametro, non il suo valore. Il dispositivo ripiega così su un generatore deterministico alimentato da valori prevedibili — identificativo univoco del chip, stato di un timer, orologio interno. In pratica la seed non era casuale, era calcolabile.
Il secondo difetto tocca Mk4, Q e Mk5. Questi dispositivi aggiungono casualità prelevandola dal loro elemento sicuro, ma la funzione di reseed ne conserva soltanto quattro byte e sostituisce una sola parola di stato da 32 bit. Block quantifica così l’esposizione dei modelli attuali: «una volta fissati lo stato di fallback e la cronologia delle chiamate, lo spazio di ricerca residuo derivato dall’elemento sicuro è al più 232, con una media di circa 231 tentativi». Sono circa 2,1 miliardi di tentativi in media.
Gli stessi ingegneri accompagnano però quella cifra con due cautele esplicite. La prima: «questo non significa che ogni attaccante remoto possa recuperare immediatamente ogni seed», perché il costo pratico dipende dalle informazioni disponibili sull’identificativo del dispositivo, sui tempi di avvio e sulle chiamate precedenti. La seconda è ancora più netta: «nessun benchmark di forza bruta end-to-end viene qui rivendicato».
Un chiarimento utile a chi possiede un dispositivo più vecchio: il Mk1 è fuori dal perimetro («outside this regression», scrive Block), e anche Mk2 e Mk3 con firmware fino alla v3.2.2 usavano correttamente il generatore hardware. Quel che conta, precisa il rapporto, «è il firmware in uso quando il segreto è stato generato, non la data di produzione del dispositivo».
40 bit contro 128: quanto vale una seed compromessa
Coinkite, l’azienda canadese che produce Coldcard, stima in circa 40 bit lo spazio di ricerca effettivo delle seed generate su Mk3 e in circa 72 bit quello dei modelli successivi, contro un obiettivo di progetto di 128 bit. Le due cifre compaiono nel suo approfondimento tecnico e vanno lette con attenzione, perché la sicurezza crittografica non cresce in modo lineare: raddoppia a ogni bit aggiunto.
| Configurazione | Spazio di ricerca stimato (bit) | Combinazioni possibili |
|---|---|---|
| Obiettivo di progetto (seed BIP-39 a 12 parole) | 128 bit | 3,4 × 1038 |
| Coldcard Mk4, Q, Mk5 (reseed troncato) | circa 72 bit | 4,7 × 1021 |
| Coldcard Mk3 (fallback deterministico) | circa 40 bit | 1,1 × 1012 |
| Contributo dell’elemento sicuro sui modelli attuali (misura di Block) | al più 32 bit | 4,3 × 109 |
Le stime a 40 e 72 bit sono di Coinkite, che le dichiara preliminari, formulate «sotto le nostre attuali ipotesi di attacco» e soggette a revisione con il proseguire dell’analisi. Il valore a 32 bit è la misura di Block sul solo contributo dell’elemento sicuro nei modelli attuali, non sull’intera seed. Coinkite riferisce i 40 bit specificamente al Mk3.
Il salto è enorme. Fra i 40 bit stimati per il Mk3 e i 128 bit di progetto corrono ventisei ordini di grandezza: mille miliardi di combinazioni contro un numero di trentanove cifre. È la differenza fra un archivio che si può scandagliare per intero e uno che non basterebbe l’energia del pianeta a percorrere. Anche i 72 bit dei modelli recenti, pur enormemente più solidi, restano oltre settanta milioni di miliardi di volte sotto l’obiettivo dichiarato.
Un dettaglio che molti stanno sottovalutando: aggiornare il firmware non ripara una seed già generata. Block è esplicito — «l’aggiornamento non indebolisce né ripara retroattivamente una seed esistente» — e precisa che se la sequenza di parole è nata su un dispositivo vulnerabile ed è stata poi esportata su un altro portafoglio, quella stessa seed insicura resta compromessa. La correzione software protegge le chiavi future, non quelle passate.
Il multisig ha retto, ma Block pone una condizione precisa
Nessuno degli indirizzi svuotati era multisig: secondo l’analisi on-chain di Rob Hamilton, amministratore delegato della società di custodia AnchorWatch, ripresa dalla testata TFTC, l’attacco ha prelevato 1.324 UTXO da circa 500 indirizzi legacy a firma singola, senza toccare un solo UTXO multisig né un indirizzo Taproot. Molti di quegli UTXO erano fermi dal 2021. Su questa base è nata l’idea che il multisig sia stato la barriera.
La documentazione di Block circoscrive però il merito con due frasi consecutive che vanno lette insieme: «Anche se un COLDCARD viene usato in una configurazione multisig, se la configurazione è composta esclusivamente da dispositivi vulnerabili, l’impatto della vulnerabilità rimane. È necessario un quorum di dispositivi sicuri per proteggersi da questo problema». Tre chiavi generate su tre Coldcard affetti dallo stesso difetto non sono tre segreti indipendenti: sono tre segreti calcolabili con lo stesso metodo, uno dopo l’altro.
La condizione posta da Block riguarda dunque la sicurezza dei dispositivi del quorum, non la loro marca. Un 2-di-3 costruito con tre Coldcard aggiornati e con seed rigenerate soddisfa il requisito quanto un 2-di-3 che mescola produttori diversi. A nostro avviso la diversificazione del fornitore resta comunque la via più pratica per ottenere quel quorum, perché non richiede di sapere in anticipo quale implementazione contenga il prossimo difetto: è un’osservazione della redazione di BitcoinLive24, non una raccomandazione di Block.
Va segnalato, per correttezza, che Block è un concorrente commerciale di Coinkite e lo dichiara apertamente: il rapporto si presenta come «l’opinione di Block», avverte di non aver «condotto test empirici completi per confermare la sfruttabilità» e rimanda al «rapporto definitivo di Coinkite».
Peter Todd: hardware wallet sì nel multisig, meno nella firma singola
Lo sviluppatore Bitcoin Peter Todd ha collegato l’episodio a una diffidenza di lunga data verso i portafogli hardware commerciali. Le sue parole, riportate da U.Today, sono più articolate di quanto il titolo lasci intendere: «Sono sempre stato scettico sui portafogli hardware. Paghi molti soldi per un dispositivo che esegue codice che poche persone guarderanno mai, su hardware che potrebbe essere dotato di backdoor con un attacco alla catena di fornitura». E sull’uso concreto: «È ragionevole aggiungere un portafoglio hardware in una configurazione multisig. Ma con la firma singola, è probabilmente meglio restare su software ben auditato su hardware comune».
È una posizione critica verso l’hardware dedicato in sé, non soltanto verso Coldcard. A nostra lettura le due posizioni si sfiorano su un punto — il dispositivo dedicato dà il meglio quando il suo contributo si somma a quello di altri anziché sostituirli — ma né Todd né Block affermano di convergere.
Quanto costa davvero il multisig oggi: meno di dieci centesimi
Con le commissioni di rete a 3 satoshi per vbyte, una spesa 2-di-3 costa circa nove centesimi di dollaro in più di una a firma singola. Il rilevamento è del 31 luglio 2026 alle 11:06 UTC, al blocco 960.391: mempool.space indicava 3 sat/vB per la conferma rapida e 1 sat/vB per la fascia oraria (endpoint /api/v1/fees/recommended), con bitcoin a circa 63.920$ secondo CoinGecko.
La stima che segue è nostra e il metodo è dichiarato perché chiunque possa rifare il conto: transazione con un ingresso e due uscite, ingresso a firma singola SegWit (P2WPKH) di circa 68,5 vbyte contro ingresso 2-di-3 in P2WSH di circa 104,5 vbyte; per la spesa multisig si assume un’uscita di resto P2WSH da 43 vbyte più un’uscita P2WPKH da 31, contro due uscite P2WPKH nel caso a firma singola, con 10,5 vbyte di intestazione in entrambi i casi.
| Commissione di rete | Spesa a firma singola | Spesa 2-di-3 | Differenza |
|---|---|---|---|
| 1 sat/vB (rete scarica) | 141 sat — 0,09$ | 189 sat — 0,12$ | 0,03$ |
| 3 sat/vB (situazione attuale) | 423 sat — 0,27$ | 567 sat — 0,36$ | 0,09$ |
| 10 sat/vB (rete congestionata) | 1.410 sat — 0,90$ | 1.890 sat — 1,21$ | 0,31$ |
| 50 sat/vB (picco di domanda) | 7.050 sat — 4,51$ | 9.450 sat — 6,04$ | 1,53$ |
Stima redazionale di BitcoinLive24 su dimensioni tipiche di transazione; il controvalore in dollari usa la quotazione delle 11:06 UTC. Chi ripete il calcolo con un numero diverso di ingressi o con altri tipi di uscita otterrà cifre diverse.
Anche in uno scenario di congestione severa la differenza resta sotto i due dollari. Il costo del multisig, oggi, non è economico: è di complessità operativa — backup da conservare in luoghi distinti, procedure di recupero da provare, un descrittore del portafoglio da custodire insieme alle chiavi.
Cosa significa per chi custodisce bitcoin
Coinkite indica rimedi diversi per le due famiglie di dispositivi, e per il Mk3 pone una condizione che cambia la valutazione del rischio. Per Mk4, Q e Mk5 la raccomandazione è aggiornare il firmware e generare una seed completamente nuova. Per il Mk3 l’azienda considera a rischio le seed create con firmware 4.0.1 o successivi «senza almeno 50 lanci di dado indipendenti e privati», con l’indicazione di seguire l’avviso di sicurezza dedicato e le istruzioni di migrazione; chi quei lanci li aveva fatti in fase di creazione si trova invece in una posizione diversa, perché Coinkite scrive di «non considerare quella seed a rischio per questo solo problema di RNG».
Il perimetro, in ogni caso, è più ampio di quanto sembrasse questa mattina, quando su BitcoinLive24 abbiamo raccontato l’avviso di sicurezza limitato al Mk3: la divulgazione di Block estende la questione a cinque modelli, con soglie di firmware diverse per ciascuno.
Sulla passphrase BIP-39 — la cosiddetta venticinquesima parola — Coinkite si limita a ricordare che «una passphrase crea un portafoglio diverso» e la definisce una scelta di sicurezza distinta, non un rimedio a questa falla. Ne discende, per nostra analisi, che chi ne aveva impostata una robusta dispone di uno strato aggiuntivo che l’attacco non attraversa; il beneficio però scala con la qualità della passphrase, e una sequenza breve o prevedibile aggiunge molto meno di quanto si creda.
C’è infine un dettaglio inquietante sul modo in cui la falla è emersa. Nel suo approfondimento tecnico Coinkite scrive: «Il codice sorgente di COLDCARD è sempre stato aperto e pubblicamente disponibile, quindi dobbiamo presumere che qualcuno abbia usato un’intelligenza artificiale per esaminare le versioni precedenti del nostro firmware e si sia imbattuto in questo problema» — circostanza ripresa anche da Decrypt. Secondo la cronologia tecnica di Block il codice vulnerabile è entrato nella generazione delle chiavi con la migrazione del 1° marzo 2021 ed è arrivato agli utenti con il firmware v4.0.0 il 17 marzo 2021: è rimasto lì oltre cinque anni. Un tema che si intreccia con quanto osservato sulle nuove tecniche di furto delle seed phrase e con i dati sull’adozione degli hardware wallet, ancora ferma a una minoranza degli utenti.
Prospettive
La vicenda Coldcard non chiude il dibattito fra autocustodia e delega a terzi: lo sposta. Il punto non è se un dispositivo dedicato sia più sicuro di un telefono, ma se la propria configurazione concentra la fiducia in un unico firmware e in un’unica implementazione. Nei prossimi mesi è ragionevole attendersi una revisione più severa del codice di generazione delle chiavi da parte di tutti i produttori, e — secondo l’indicazione di Block, che vi rimanda esplicitamente — la pubblicazione del rapporto definitivo di Coinkite. Le stime a 40 e 72 bit, avverte la stessa Coinkite, potranno essere riviste con il proseguire dell’analisi.
Per seguire gli sviluppi di questa vicenda e il resto delle notizie su Bitcoin in italiano, scarica l’app BitcoinLive24.
Questo articolo non costituisce consulenza finanziaria. I dati di prezzo e di commissione sono rilevati al momento della stesura e possono variare.
Domande frequenti
Il multisig protegge davvero dalla falla Coldcard?
Solo a una condizione, che Block formula così: è necessario un quorum di dispositivi sicuri. Se una configurazione multisig è composta esclusivamente da dispositivi vulnerabili, l’impatto della vulnerabilità rimane. Il requisito riguarda la sicurezza dei dispositivi, non la loro marca: tre Coldcard aggiornati con seed rigenerate lo soddisfano quanto un insieme di produttori diversi.
Quali modelli Coldcard sono interessati?
Secondo la tabella di Block sono coinvolti Mk2, Mk3, Mk4, Q e Mk5, mentre il Mk1 resta fuori dal perimetro. Mk2 e Mk3 sono esposti solo con firmware dalla 4.0.0 alla 4.1.9, mentre per Mk4, Q e Mk5 il problema riguarda il reseed limitato a 32 bit. L’esposizione dipende dal firmware in uso quando la seed è stata generata, non dalla data di acquisto.
Aggiornare il firmware mette al sicuro i miei fondi?
No: l’aggiornamento protegge le chiavi generate da quel momento in poi, ma non ripara una seed creata su firmware vulnerabile. Block precisa che una seed esportata verso un altro portafoglio resta compromessa. Coinkite raccomanda di generare una seed completamente nuova sul dispositivo aggiornato per Mk4, Q e Mk5, e di seguire le istruzioni di migrazione per il Mk3.
Quanto costa in più una transazione multisig?
Circa 0,09$ in più di una spesa a firma singola, secondo la nostra stima con le commissioni di rete a 3 sat/vB rilevate il 31 luglio 2026 alle 11:06 UTC. Anche a 50 sat/vB la differenza resta sotto i due dollari: il costo reale del multisig è la complessità di gestione, non la commissione.
La passphrase BIP-39 mi ha protetto?
Una passphrase genera un portafoglio distinto e quindi, per nostra analisi, aggiunge uno strato che questo attacco non attraversa, ma il beneficio dipende dalla sua robustezza. Coinkite la definisce una scelta di sicurezza separata e non un rimedio a questa falla; una passphrase breve o prevedibile offre una protezione molto inferiore a quella percepita.
