Una sospetta quarta ondata di attacchi contro i portafogli hardware Coldcard ha sottratto altri 388,9 BTC tra il 2 e il 3 agosto 2026, secondo l’analisi di Alex Thorn, responsabile ricerche di Galaxy Digital. La scoperta arriva a meno di 24 ore dalla stima precedente di circa 1.367 BTC rubati nelle prime tre ondate, e conferma che il bug al generatore di numeri casuali (RNG, il componente che crea le chiavi private) individuato nei dispositivi Coinkite continua a colpire i wallet non ancora messi in sicurezza. Per chi possiede ancora fondi su un Coldcard generato prima della patch, la finestra di rischio resta aperta.
Cosa è Successo
Galaxy Research ha individuato 218 transazioni sospette collegate a 462 indirizzi potenzialmente vittime, per un totale di 388,9 BTC in movimento nelle ultime ore, secondo quanto riportato da Cointelegraph. Il ritmo dei prelievi non autorizzati ha toccato 13,8 “sweep” (prelievi automatizzati) per blocco, quarantacinque volte il tasso osservato prima dell’incidente — un’accelerazione che, secondo Thorn, indica un attaccante ancora attivo nello svuotare sistematicamente gli indirizzi vulnerabili.
Il meccanismo sfruttato è lo stesso individuato nelle prime tre ondate, iniziate giovedì 30 luglio 2026: un difetto nel generatore di numeri casuali dei dispositivi Coldcard Mk4 e Q (con alcuni casi segnalati anche su Mk3) che ha reso prevedibili i semi (seed phrase, le 12-24 parole che generano le chiavi private) creati internamente dal dispositivo. Coinkite, il produttore, ha rilasciato un firmware correttivo d’emergenza, ma al 2 agosto non aveva ancora confermato pubblicamente un difetto diffuso nell’aggiornamento stesso, dopo che diversi utenti hanno segnalato dispositivi Mk4 e Q bloccati su schermate di errore dopo l’installazione, secondo Bitcoin.com News.
Perché è Importante
Prima di questa quarta ondata, Galaxy Research aveva stimato in circa 1.367 BTC (oltre 4.585 indirizzi coinvolti) il totale sottratto nelle prime tre fasi dell’attacco, per un controvalore che le testate finanziarie avevano collocato sopra i 90 milioni di dollari, secondo Decrypt. Sommando la nuova cifra della quarta ondata al dato precedente, il totale sottratto sale a circa 1.756 BTC — una stima ottenuta assommando le due cifre riportate dalle fonti, non ancora pubblicata come dato unico consolidato da Galaxy Research.
L’incidente Coldcard è già il più grande furto di bitcoin da autocustodia mai registrato legato a un difetto hardware, e la sua persistenza in una quarta ondata segnala che una parte consistente degli utenti coinvolti non ha ancora messo in sicurezza i propri fondi, nonostante gli allarmi lanciati fin dal 30 luglio.
Il 1° agosto 2026 la vicenda ha preso anche una piega surreale: qualcuno ha inviato agli indirizzi controllati dall’attaccante un’offerta pubblica di riciclaggio tramite una transazione con output OP_RETURN — la funzione Bitcoin che permette di scrivere testo permanente sulla blockchain senza spostare fondi spendibili — proponendo assistenza KYC e un prelievo “ripulito” in cambio di una commissione del 10%, come riportato da Bitcoin.com News.
Cosa Significa per gli Utenti Coldcard
La tabella riassume le cifre riportate finora, ondata per ondata, con le rispettive fonti:
| Ondata | Periodo | BTC coinvolti | Fonte |
|---|---|---|---|
| 1ª–3ª (cumulate) | 30 luglio – 2 agosto 2026 | ~1.367 BTC (~4.585 indirizzi) | Galaxy Research, via Decrypt |
| 4ª (sospetta) | 2-3 agosto 2026 | 388,9 BTC (218 tx, 462 indirizzi) | Alex Thorn/Galaxy Research, via Cointelegraph |
Per chi possiede ancora fondi su un Coldcard Mk3, Mk4 o Q con seed generato internamente prima della patch, la raccomandazione diffusa tra gli analisti di sicurezza resta trasferire i bitcoin verso un nuovo seed generato con un metodo verificato. BitcoinLive24 ha già documentato che i semi generati manualmente con i dadi non risultano compromessi dal bug e che le configurazioni multisig hanno retto meglio delle chiavi a firma singola durante le prime ondate. Chi installa il nuovo firmware dovrebbe inoltre verificare che il dispositivo si avvii correttamente prima di considerarsi al sicuro, vista l’assenza di conferma ufficiale sul problema di boot segnalato su Mk4 e Q.
Per dimensione, l’exploit Coldcard supera già altri incidenti noti di autocustodia legati a difetti hardware o software, proprio perché colpisce il livello più basso della catena di sicurezza: la generazione del seed, non un errore dell’utente o un attacco di phishing. È una distinzione che gli esperti di sicurezza sottolineano da giorni, perché sposta la responsabilità dal comportamento del singolo possessore al processo produttivo del dispositivo.
Prospettive
L’analista Bloomberg Eric Balchunas ha sostenuto che l’incidente rafforza indirettamente il caso a favore degli ETF spot su Bitcoin, dove la custodia è delegata a soggetti regolamentati, pur riconoscendo che anche la custodia istituzionale comporta rischi propri, secondo Cointelegraph. Sul fronte opposto, l’imprenditore Anthony Pompliano ha separato il fallimento del wallet dal protocollo Bitcoin, sottolineando che il problema riguarda l’implementazione hardware di Coinkite e non la sicurezza crittografica della rete Bitcoin in sé.
Il prossimo elemento da monitorare è se Coinkite confermerà ufficialmente il numero totale di indirizzi vulnerabili ancora attivi e se il firmware corretto verrà ripubblicato senza i problemi di avvio segnalati. Finché questo non accadrà, nuove ondate di prelievi non autorizzati restano possibili, e il conteggio complessivo delle perdite è destinato a crescere ulteriormente.
Domande Frequenti
Cos’è il bug che ha colpito i wallet Coldcard?
È un difetto nel generatore di numeri casuali (RNG) di alcuni dispositivi Coldcard Mk3, Mk4 e Q, che ha reso prevedibili i seed generati internamente dal dispositivo prima della patch, permettendo a un attaccante di ricostruire le chiavi private e svuotare i wallet colpiti.
Quanti bitcoin sono stati rubati finora nell’exploit Coldcard?
Circa 1.367 BTC nelle prime tre ondate (30 luglio-2 agosto), secondo Galaxy Research via Decrypt, a cui si aggiungono 388,9 BTC di una sospetta quarta ondata rilevata il 3 agosto, per un totale combinato di circa 1.756 BTC secondo il calcolo di BitcoinLive24 sulle due cifre riportate.
Come posso proteggere i miei fondi se ho un Coldcard?
Trasferisci i bitcoin verso un nuovo seed generato con un metodo verificato — ad esempio entropia manuale con i dadi, che finora non risulta compromessa — o verso una configurazione multisig, che ha mostrato una resilienza maggiore rispetto alle chiavi a firma singola durante le prime ondate dell’attacco.
Cos’è la transazione OP_RETURN citata nell’articolo?
È una funzione del protocollo Bitcoin che permette di scrivere fino a 80 byte di testo permanente sulla blockchain senza spostare fondi spendibili, usata in questo caso per inviare pubblicamente un messaggio (l’offerta di riciclaggio) agli indirizzi controllati dall’attaccante.
Scarica l’app BitcoinLive24 per restare aggiornato in tempo reale sugli sviluppi dell’exploit Coldcard e su tutte le notizie Bitcoin.
Questo articolo non costituisce consulenza finanziaria.
