L’hacker responsabile della “Wave 3” del furto Coldcard ha mosso 97,09 BTC, circa 7,7 milioni di dollari, pari al 45% del bottino sottratto in questa ondata, secondo un’analisi pubblicata lunedi’ da Galaxy Research. I fondi sono transitati attraverso THORChain, un protocollo di scambio cross-chain, e attraverso cicli di CoinJoin, la tecnica di mixing che rende piu’ difficile ricostruire il percorso dei bitcoin rubati. Il movimento riaccende l’attenzione sul piu’ grande furto della storia da hardware wallet Coldcard, che finora ha sottratto oltre 1.806 BTC (143,9 milioni di dollari) sfruttando una falla firmware individuata nel 2021.
Cosa e’ Successo
Secondo Galaxy Research, l’attaccante ha svuotato il vault piu’ grande della Wave 3 il 2 settembre, inviando circa 20,5 BTC attraverso THORChain e convertendoli in Ethereum — di cui solo 20,56 BTC sono effettivamente arrivati a destinazione, segno delle commissioni e dello slippage tipici degli swap cross-chain. Nel weekend successivo l’hacker ha invece spostato 57,24 BTC in transazioni CoinJoin, dove restano ora come resto (“change”) in un unico indirizzo. Altri circa 19 BTC risultano tracciabili solo parzialmente, con la scia che si perde nei passaggi successivi.
Il totale movimentato, 97,09 BTC, rappresenta il 45% dell’intero bottino della Wave 3. L’attaccante aveva strutturato il furto creando 293 vault multisig 2-of-2 per custodire i fondi sottratti alle vittime, e li sta svuotando in ordine decrescente di dimensione: finora sono stati prosciugati gli 11 vault piu’ capienti, ne restano 282. Come riportato da CryptoTimes, Galaxy Research segue il caso fin dalle prime fasi del furto.
| Metrica | Valore |
|---|---|
| BTC mossi in Wave 3 (finora) | 97,09 BTC (~7,7 milioni di $) |
| Quota della Wave 3 movimentata | 45% |
| Via THORChain (2 settembre) | ~20,5 BTC → convertiti in ETH |
| Via CoinJoin (weekend) | 57,24 BTC (fermi come change) |
| Vault multisig 2-of-2 totali | 293 (11 svuotati, 282 restanti) |
| Totale rubato confermato (intero furto) | ~1.806 BTC (~143,9 milioni di $) |
| BTC ancora fermi sui wallet dell’attaccante | 82% del totale rubato |
Perche’ e’ Importante
Il furto Coldcard nasce da un difetto firmware individuato nei dispositivi prodotti da Coinkite: un bug del 2021 che degradava l’entropia usata per generare le chiavi private da 128 a soli 40 bit, rendendole indovinabili con sufficiente potenza di calcolo. Lo sfruttamento su larga scala e’ iniziato pero’ solo il 30 luglio 2026, quando l’attaccante ha cominciato a prosciugare i wallet vulnerabili in ondate successive (le cosiddette “wave”). BitcoinLive24 aveva gia’ raccontato i primi movimenti dell’hacker a inizio settembre e, prima ancora, come il bug avesse spinto l’intero settore verso la custodia multi-vendor per ridurre il rischio di un singolo punto di fallimento hardware.
La Wave 3 e’ solo l’ultima delle ondate identificate: secondo le stime di Galaxy Research, includendo le porzioni ancora non confermate il totale potrebbe superare i 2.400 BTC. Il dato piu’ rilevante resta pero’ che l’82% dei fondi rubati nell’intero exploit non si e’ ancora mosso: gli hacker sembrano preferire una liquidazione lenta e frazionata, forse per non far crollare il prezzo di vendita o per evitare di attirare l’attenzione degli exchange su grandi afflussi improvvisi.
Le Reazioni
Galaxy Research, la divisione di ricerca della societa’ di trading digitale Galaxy Digital, e’ l’analista che sta tracciando pubblicamente ogni movimento della Wave 3, pubblicando aggiornamenti man mano che nuovi vault vengono svuotati. La community della sicurezza Bitcoin osserva con attenzione l’uso combinato di THORChain e CoinJoin: il primo permette di convertire rapidamente i bitcoin in altri asset senza passare da un exchange centralizzato, il secondo — una tecnica di privacy legittima usata quotidianamente anche da utenti onesti — qui viene sfruttato per rompere il collegamento tracciabile tra gli indirizzi di origine e quelli di destinazione dei fondi rubati.
Cosa Aspettarsi
Con 282 vault ancora da svuotare, e’ probabile che Galaxy Research continui a documentare nuovi movimenti nelle prossime settimane, seguendo lo stesso schema — dai vault piu’ capienti a quelli piu’ piccoli. Coinkite ha gia’ distribuito un firmware corretto per i nuovi dispositivi, ma il rischio resta concentrato sui wallet piu’ datati non ancora aggiornati dai possessori. Per chi utilizza un hardware wallet Coldcard di generazione precedente, verificare l’aggiornamento del firmware resta la prima misura di protezione concreta.
Per restare aggiornati in tempo reale su ogni sviluppo del caso Coldcard e sulla sicurezza degli hardware wallet Bitcoin, scarica l’app BitcoinLive24.
FAQ
Cos’e’ il furto Coldcard e quanti fondi ha coinvolto finora?
Il furto Coldcard sfrutta un bug firmware del 2021 che indeboliva la generazione delle chiavi private negli hardware wallet Coinkite. Lo sfruttamento su larga scala e’ iniziato il 30 luglio 2026 e ha finora sottratto oltre 1.806 BTC confermati, circa 143,9 milioni di dollari, con la Wave 3 ancora in corso di liquidazione.
Cos’e’ CoinJoin e perche’ rende difficile tracciare i bitcoin rubati?
CoinJoin e’ una tecnica di privacy che unisce le transazioni di piu’ utenti in un’unica operazione, mescolando input e output cosi’ da rendere piu’ complesso collegare un indirizzo mittente a un indirizzo destinatario specifico. E’ una funzione legittima usata anche da utenti che vogliono solo proteggere la propria privacy finanziaria, ma qui viene sfruttata per ostacolare il tracciamento dei fondi rubati.
Chi ha individuato il movimento dei fondi della Wave 3?
E’ stata Galaxy Research, la divisione di analisi on-chain di Galaxy Digital, a documentare il movimento di 97,09 BTC (45% del bottino Wave 3) attraverso THORChain e CoinJoin, individuando anche la struttura dei 293 vault multisig creati dall’attaccante per custodire i fondi sottratti.
