Coldcard, il produttore di portafogli hardware dedicati solo a Bitcoin (dispositivi fisici che custodiscono le chiavi private offline), ha segnalato che domenica 11 ottobre 2026 un link di phishing è comparso sul suo account X ufficiale, secondo Cointelegraph e il comunicato di Coldcard su X. Il post è stato cancellato e l’azienda sta indagando su come sia stato pubblicato. L’episodio arriva dopo il furto di oltre 100 milioni di dollari in bitcoin a utenti Coldcard a luglio, e secondo U.Today è proprio quel clima di allarme che il phishing avrebbe sfruttato.
Coldcard phishing su X: cosa è successo l’11 ottobre
Coldcard ha spiegato che il post con il link fraudolento è apparso sul suo profilo X, per il quale dal 2017 usa l’autenticazione a due fattori offline e un accesso strettamente limitato, come riporta Cointelegraph. L’azienda ha invitato gli utenti a non aprire il link e a non interagire con il post, ricordando che il suo unico sito ufficiale è coldcard.com. Sta rivedendo tutti gli accessi all’account e promette di condividere solo aggiornamenti verificati. Secondo U.Today, ha anche contattato il supporto di X.
Secondo U.Today, il falso avviso annunciava una «vulnerabilità critica del firmware» che riguarderebbe i modelli Mk4, Mk5 e Q, e invitava a spostare subito i fondi attraverso un sito di phishing.
Sempre secondo U.Today, nel suo messaggio a X Support Coldcard ha scritto di non trovare alcun accesso, sessione o log corrispondente al post e di considerare ancora sicure le proprie credenziali e la 2FA offline. L’azienda parla di un possibile accesso non autorizzato a livello di piattaforma o di pannello amministrativo e cita segnalazioni, che non può verificare in modo indipendente, sulla vendita di accessi ad account amministrativi di X nei mercati darknet.
Perché il messaggio poteva sembrare credibile
Il phishing ha colpito un’utenza già scossa. Dal 30 luglio, secondo l’aggiornamento del 4 agosto riportato da Cointelegraph che cita Galaxy Research, sono stati sottratti 1.596 bitcoin da circa 7.300 indirizzi generati da Coldcard, in tre ondate principali e 14 episodi minori, per un totale superiore a 100 milioni di dollari.
Come ricostruisce Infosecurity Magazine, la prima ondata del 30 luglio ha svuotato 1.082,65 bitcoin da 1.196 indirizzi in 41 minuti. Un rapporto del team Bitcoin Engineering and Security di Block, citato dalla stessa testata, ha attribuito il problema a una vulnerabilità del firmware risalente al 2021: in certi casi il dispositivo non usava il generatore di numeri casuali hardware per creare la seed phrase (la sequenza di parole che permette di recuperare un portafoglio) ma un generatore di riserva deterministico, così gli attaccanti potevano riprodurre le chiavi offline.
U.Today osserva che il falso avviso dell’11 ottobre imitava proprio quella situazione, con riferimenti a modelli e aggiornamenti del firmware per spingere gli utenti a muovere i fondi in fretta. Chi non ha inserito la propria seed phrase sul sito fraudolento, secondo la stessa testata, non dovrebbe aver subito perdite.
I numeri del caso Coldcard in sintesi
Galaxy Research ha individuato anche una sospetta quarta ondata che potrebbe portare le perdite totali a 2.055 bitcoin, circa 130 milioni di dollari, ma l’ha esclusa dalla stima confermata perché mancava la conferma delle vittime, come scrive Cointelegraph. Questa tabella riassume le cifre citate negli articoli.
| Evento | Dato | Fonte |
|---|---|---|
| Prima ondata, 30 luglio | 1.082,65 BTC da 1.196 indirizzi in 41 minuti | Infosecurity Magazine |
| Tre ondate principali e 14 episodi minori | 1.596 BTC da circa 7.300 indirizzi (oltre 100 milioni di dollari) | Cointelegraph / Galaxy Research |
| Quarta ondata sospetta (non confermata) | fino a 2.055 BTC in totale, circa 130 milioni di dollari | Cointelegraph / Galaxy Research |
| 11 ottobre 2026 | link di phishing sull’account X ufficiale, post cancellato | Cointelegraph, U.Today |
Cosa devono fare gli utenti Coldcard
Le indicazioni dell’azienda, riportate da Cointelegraph, sono due: non aprire il link e ricordare che l’unico sito ufficiale è coldcard.com. Come regola generale di sicurezza (indicazione della redazione, non di Coldcard), una seed phrase non va mai digitata in un form web, e per gli aggiornamenti del firmware conviene partire dal sito ufficiale digitato a mano e non da un link comparso sui social.
Per chi era già coinvolto nella vicenda di luglio, Infosecurity Magazine riporta che Coinkite ha rilasciato firmware corretti per tutti i modelli interessati e ha chiesto di non generare nuove seed sui dispositivi interessati prima di aver installato l’aggiornamento. Secondo U.Today, l’aggiornamento non protegge i portafogli già creati, che vanno migrati su una nuova seed phrase.
Cosa aspettarsi
Restano aperte due questioni: come sia stato pubblicato il post, dato che Coldcard dichiara di non trovare accessi corrispondenti, e se X confermerà una compromissione a livello di piattaforma. Le fonti consultate non riportano perdite legate al link di phishing. Sulla sicurezza dei portafogli hardware BitcoinLive24 ha seguito di recente anche il caso Ledger e CryptoBilis, con 86 milioni di dollari di furti stimati, e il lancio dei prestiti in bitcoin di Ledger. Questo articolo ha scopo informativo e non costituisce consulenza finanziaria.
Vuoi ricevere in tempo reale le notizie che contano su Bitcoin? Scarica l’app BitcoinLive24 e attiva le notifiche.
Domande frequenti sul phishing Coldcard
Cosa è successo all’account X di Coldcard?
Un link di phishing è comparso domenica 11 ottobre 2026 sull’account X ufficiale di Coldcard ed è stato poi cancellato, secondo Cointelegraph. L’azienda sta indagando su come il post sia stato pubblicato.
Il sito ufficiale di Coldcard qual è?
L’unico sito ufficiale è coldcard.com, come ribadito dall’azienda a Cointelegraph. Qualsiasi altro indirizzo promosso sui social va considerato non affidabile.
Cosa rischia chi ha aperto il link?
Il rischio riguarda soprattutto chi ha digitato la seed phrase sul sito fraudolento, secondo U.Today. Chi l’ha inserita dovrebbe considerare compromesso quel portafoglio e spostare i fondi su un nuovo portafoglio con una nuova seed phrase.
