Coldcard: l’Hacker del Furto da $114,7M Muove i Primi Bitcoin

Il cluster di indirizzi legato al più grande furto di Bitcoin dai wallet hardware Coldcard è tornato attivo dopo settimane di silenzio: secondo Galaxy Research, l’analista Alex Thorn ha rilevato lo spostamento di circa 20,5 BTC attraverso il protocollo cross-chain THORChain (un sistema che permette di scambiare Bitcoin con altri asset senza passare da un exchange centralizzato), convertiti in Ether su un nuovo indirizzo. È il primo movimento osservato dagli indirizzi originali della cosiddetta “Wave 3”, il cluster da 1.789 BTC (circa $114,7 milioni al momento del furto, su 8.865 indirizzi) legato alla falla scoperta nel 2021 sui dispositivi Coldcard. Il nuovo indirizzo Ethereum di destinazione è stato condiviso con le autorità competenti.

Cosa è Successo: il Movimento via THORChain

Secondo il tracciamento on-chain di Galaxy Research, riportato mercoledì sera da Alex Thorn, il cluster “Wave 3” ha instradato circa il 10% dei fondi rimasti attraverso THORChain, convertendo Bitcoin in Ether su un indirizzo Ethereum di nuova creazione. Il restante 90% dei fondi resta parcheggiato negli indirizzi originali, invariato dal momento del furto.

Un dettaglio tecnico rende la mossa particolarmente interessante per chi analizza il comportamento degli hacker: secondo TFTC, l’attaccante ha ricevuto ripetuti errori di rimborso da THORChain e ha continuato a ritentare la transazione. Questo pattern suggerisce un test del percorso di riciclaggio più che un vero e proprio tentativo di incasso su larga scala — un comportamento tipico di chi verifica la tenuta di una rotta prima di spostare somme maggiori.

Il Bug Coldcard del 2021: Come è Nato il Furto

La vulnerabilità alla base del furto risale a un firmware con generatore di numeri casuali (RNG) difettoso distribuito nel marzo 2021 sui dispositivi Coldcard Mk3, Mk4, Mk5 e Q. Il difetto rendeva le chiavi private matematicamente ricostruibili senza che l’attaccante dovesse mai toccare fisicamente il dispositivo della vittima — la causa tecnica che BitcoinLive24 aveva già raccontato lo scorso 27 agosto, quando la stima iniziale dell’impatto complessivo dell’exploit si aggirava sui $100 milioni.

Da allora Galaxy Research ha affinato il tracciamento on-chain, isolando cluster distinti di indirizzi colpiti dallo stesso exploit. “Wave 3” è uno di questi: 1.789 BTC sottratti da 8.865 indirizzi, per un valore di $114,7 milioni al momento del furto — una cifra riferita al prezzo di Bitcoin nel periodo in cui i fondi furono sottratti, non al valore attuale.

I Precedenti Movimenti: da Wasabi a Tornado Cash

Non è la prima volta che il cluster mostra attività. Secondo dati CertiK citati da Cointelegraph, lo scorso agosto lo stesso gruppo di indirizzi aveva già spostato 64 BTC verso Wasabi (un wallet con funzione CoinJoin, che mescola le transazioni di più utenti per rendere più difficile il tracciamento) e 200 ETH verso Tornado Cash, il mixer Ethereum sanzionato più volte dalle autorità statunitensi.

Il ricorso a strumenti diversi — CoinJoin, mixer Ethereum, ora un protocollo cross-chain — riflette un pattern già osservato in altri casi di riciclaggio di Bitcoin rubati che BitcoinLive24 ha seguito nelle scorse settimane, dal gruppo Lazarus nordcoreano su Hyperliquid alla botnet russa Sality smantellata dall’FBI: gli attaccanti frammentano i movimenti su più protocolli per complicare il lavoro degli analisti forensi.

I Numeri del Cluster “Wave 3”

Perché Conta per la Sicurezza Bitcoin

Il caso Coldcard resta uno dei promemoria più concreti sui limiti dell’autocustodia con un singolo dispositivo (single-sig): le configurazioni multisig con hardware di produttori diversi, spiegava già l’articolo di agosto, sono risultate strutturalmente immuni allo stesso difetto, perché nessun singolo firmware compromesso può da solo ricostruire una chiave privata condivisa su più dispositivi.

Per gli analisti on-chain, il fatto che il movimento riguardi solo il 10% del cluster, con ripetuti errori di rimborso su THORChain, indica che l’attaccante sta ancora testando la tenuta della rotta di riciclaggio più che tentare un incasso definitivo. Il tracciamento pubblico di Galaxy Research — e la condivisione del nuovo indirizzo Ethereum con le autorità — riduce peraltro le probabilità che il resto dei fondi venga liquidato senza lasciare tracce identificabili.

Su BitcoinLive24 continuiamo a seguire l’evoluzione del caso Coldcard, dal bug originale alle mosse di riciclaggio del cluster “Wave 3”.

Domande Frequenti

Cos’è successo al cluster Coldcard “Wave 3”?
Galaxy Research ha rilevato il primo movimento di fondi dal cluster di indirizzi legato al furto Coldcard: circa 20,5 BTC sono stati convertiti in Ether tramite il protocollo THORChain e inviati a un nuovo indirizzo Ethereum, condiviso con le autorità.

Quanti Bitcoin sono stati rubati in totale nel cluster Wave 3?
1.789 BTC da 8.865 indirizzi, per un valore stimato di $114,7 milioni al momento del furto, secondo il tracciamento di Galaxy Research.

Cos’è THORChain e perché l’hacker lo ha usato?
THORChain è un protocollo decentralizzato che permette di scambiare asset tra blockchain diverse (in questo caso Bitcoin ed Ethereum) senza passare da un exchange centralizzato, rendendo più difficile bloccare i fondi.

Da cosa deriva il bug originale dei wallet Coldcard?
Da un firmware con generatore di numeri casuali difettoso, distribuito nel marzo 2021 sui modelli Mk3, Mk4, Mk5 e Q, che rendeva le chiavi private ricostruibili matematicamente senza accesso fisico al dispositivo.

Il resto dei fondi rubati verrà recuperato?
Non è garantito: il 90% del cluster Wave 3 resta per ora negli indirizzi originali. Galaxy Research monitora la situazione e ha condiviso il nuovo indirizzo Ethereum con le autorità competenti.

📲 Scarica l’app BitcoinLive24 per ricevere una notifica push ogni volta che Bitcoin si muove.

Fonti: Cointelegraph, TFTC, CryptoTimes. Analisi on-chain: Galaxy Research (Alex Thorn).