Una falla vecchia di dodici anni nella libreria JavaScript CryptoJS ha permesso di svuotare wallet crypto per un furto confermato di almeno 5,7 milioni di dollari, secondo l’analisi on-chain della società di sicurezza Coinspect. Il problema riguarda il generatore di numeri casuali (RNG) usato da alcune app wallet per creare le recovery phrase, che produceva combinazioni enumerabili invece che davvero casuali.
Nella sola prima ondata di attacchi, il 27 maggio 2026, i possessori di Bitcoin sono stati i più colpiti: 2,57 milioni di dollari sottratti su un totale di 3,14 milioni quel giorno. Coinspect ha battezzato la vulnerabilità “Ill Bloom” e il maintainer di CryptoJS ha pubblicato l’advisory ufficiale il 5 agosto 2026.
Cos’è la Falla CryptoJS Dietro Ill Bloom
CryptoJS.lib.WordArray.random() genera numeri casuali con una variante dell’algoritmo Multiply-With-Carry di George Marsaglia, inizializzata a partire da Math.random(). Secondo il GitHub Security Advisory GHSA-rg76-677x-56q9, pubblicato dal maintainer Evan Vosberg con un rating Critical (CVSS 9.0), il difetto riduce drasticamente lo spazio di ricerca: una richiesta di 128 bit di entropia produce in pratica solo circa 2^39 combinazioni possibili, enumerabili su hardware ordinario invece dei 2^128 attesi.
Secondo lo stesso advisory GHSA-rg76-677x-56q9, il codice vulnerabile è stato introdotto nella versione 3.1.2-4 di CryptoJS nel giugno 2014, corretto brevemente nelle versioni 3.2.0 e 3.2.1, e poi reintrodotto nelle release 3.x successive per non rompere la compatibilità. Solo la versione 4.0.0, di febbraio 2020, ha sostituito definitivamente l’RNG con le API crittografiche native della piattaforma. Le app che generavano ancora le recovery phrase con una versione 3.x precedente al 2020, però, sono rimaste esposte fino a oggi.
Cronologia degli Attacchi: Tre Ondate in Tre Mesi
Coinspect ha ricostruito almeno tre ondate distinte di sfruttamento attivo della falla:
| Ondata | Periodo | Seed colpiti | Perdite stimate |
|---|---|---|---|
| 1 | 27 maggio 2026 | 431 account | ~$3,14M (di cui $2,57M in Bitcoin) |
| 2 | 30 maggio – 13 luglio 2026 | 522 seed | ~$2,55M (incl. $2,18M in USDT da un solo account Tron, 4 luglio) |
| 3 | 20-21 luglio 2026 | wallet con mnemonic in cinese, conteggio non separato | non quantificata in dollari, esclusa dal totale sotto |
Sommando le prime due ondate, l’unica finora quantificata in dollari, il furto confermato sale ad almeno 5,7 milioni di dollari (3,14 + 2,55 milioni) — cifra che Coinspect definisce esplicitamente un limite inferiore, perché conta solo i fondi effettivamente prelevati. Una fotografia precedente della stessa ricerca, datata 30 giugno 2026 e quindi anteriore alla terza ondata, aveva già censito 2.114 indirizzi vulnerabili con attività on-chain su Bitcoin, Ethereum, Tron, Rootstock e Polygon: un numero più ampio del totale delle vittime perché include anche wallet esposti alla falla ma non ancora svuotati al momento del rilevamento.
Quali Wallet e Blockchain Sono Coinvolti
Il sito di disclosure illbloom.org, gestito dagli stessi ricercatori, elenca tra le reti a rischio Bitcoin, Ethereum, Tron, Rootstock, Polygon e numerose altre chain EVM, ma per policy di sicurezza non pubblica i nomi delle app wallet coinvolte, per non facilitare ulteriori attacchi durante la disclosure scaglionata.
Secondo un’indagine indipendente di The Hacker News, le app identificate finora sono RRWallet e Milo Wallet (entrambe dismesse, senza patch disponibile), oltre a Bexo Wallet (patch 20.1.0 pronta ma non ancora distribuita in store al momento della disclosure), NanChat e Bitcoin Libre (attive e già corrette). Chi ha generato un seed con una di queste app — o con qualunque wallet minore basato su CryptoJS 3.x prima del 2020 — dovrebbe considerare la propria recovery phrase compromessa.
Perché Nessuno Se n’è Accorto per 12 Anni
Secondo la ricostruzione di Coinspect, CryptoJS è di fatto senza manutenzione attiva dal 2023 e il problema dell’RNG debole era già stato discusso pubblicamente più volte nel corso degli anni. L’assenza di un advisory formale, però, ha lasciato gli sviluppatori di wallet minori ignari del rischio concreto, mentre attaccanti più attenti hanno iniziato a sfruttarlo su larga scala solo a partire da maggio 2026.
Un caso simile era già emerso a fine luglio con il bug RNG dei wallet hardware Coldcard, dove però la matematica ha giocato a favore di chi aveva generato il seed lanciando manualmente i dadi: la casualità arrivava dall’esterno del firmware difettoso. Con CryptoJS il meccanismo è diverso — la debolezza è nel codice stesso che genera i numeri casuali — quindi non esiste un equivalente “metodo dei dadi” per gli utenti di queste app: l’unica protezione è non aver mai usato quelle versioni della libreria per generare la recovery phrase.
Cosa Significa per gli Investitori Bitcoin
Chi ha creato un wallet software minore prima del 2025 dovrebbe verificare il proprio indirizzo pubblico sul checker disponibile su illbloom.org e, in caso di esposizione, trasferire immediatamente i fondi verso un nuovo seed generato con un dispositivo o software non affetto. Secondo il GitHub Security Advisory e la ricostruzione di Coinspect, i wallet hardware e le principali app software moderne non utilizzano CryptoJS per generare l’entropia e non risultano coinvolte.
Vale anche la lezione, già emersa con il caso Coldcard, che il multisig protegge solo se i dispositivi che compongono il quorum non condividono la stessa falla: tre firmatari generati con la stessa versione vulnerabile di CryptoJS offrirebbero una protezione solo apparente.
Prospettive
Con CryptoJS effettivamente orfano di manutenzione, la responsabilità di verificare le dipendenze crittografiche ricade sugli sviluppatori dei singoli wallet: un audit delle librerie usate per generare recovery phrase, spesso ereditate da fork o codice più vecchio, resta l’unica prevenzione reale. Non è escluso che la disclosure scaglionata di Coinspect porti alla luce, nelle prossime settimane, ulteriori app coinvolte oggi non ancora identificate pubblicamente.
Domande Frequenti
Cos’è la vulnerabilità Ill Bloom?
Ill Bloom è il nome dato da Coinspect a una falla nel generatore di numeri casuali della libreria CryptoJS, che dal 2014 al 2020 ha prodotto recovery phrase enumerabili invece che crittograficamente sicure, in alcune app wallet crypto.
Come faccio a sapere se il mio wallet Bitcoin è a rischio?
Puoi verificare il tuo indirizzo pubblico sul checker gratuito di illbloom.org. Se hai generato il seed con un wallet hardware o con una app software importante e aggiornata, il rischio secondo Coinspect è minimo.
Devo spostare i miei Bitcoin se uso un wallet hardware?
No: secondo Coinspect e il GitHub Security Advisory, i wallet hardware non utilizzano la libreria CryptoJS per generare l’entropia e non risultano coinvolti in questo specifico caso.
Quali app wallet sono state finora identificate come coinvolte?
Un’indagine di The Hacker News cita RRWallet, Milo Wallet, Bexo Wallet, NanChat e Bitcoin Libre; il sito di disclosure ufficiale illbloom.org non conferma pubblicamente i nomi per motivi di sicurezza durante la disclosure scaglionata.
Le notizie e gli approfondimenti su vulnerabilità e sicurezza Bitcoin come questa sono seguiti in tempo reale dalla redazione di BitcoinLive24. Scarica l’app di BitcoinLive24 per ricevere le notifiche sulle notizie che riguardano la sicurezza dei tuoi fondi.
Questo articolo non costituisce consulenza finanziaria.
