Sulla costa di Granada, tra il 18 e il 20 settembre, un gruppo di bitcoiner spagnoli si sederà in spiaggia per generare a mano, dado dopo dado, le chiavi private che nessun chip potrà più tradire. L’evento si chiama Entropical e nasce da una domanda scomoda quanto semplice: quanto ci si può davvero fidare dell’hardware che custodisce i propri bitcoin?
Il bug che ha svuotato 500 portafogli in 25 minuti
La risposta, per centinaia di possessori di Coldcard, è arrivata nel modo peggiore. Tra la notte di giovedì 30 e venerdì 31 luglio 2026, un attaccante ha sfruttato un errore nel firmware 4.0.x del popolare hardware wallet (dispositivo fisico usato per generare e custodire offline le chiavi private Bitcoin) per prelevare 594 BTC, circa 38 milioni di dollari, da circa 500 portafogli single-signature in appena 25 minuti, tra l’1:31 e l’1:56 UTC, secondo la ricostruzione di CoinDesk.
La causa tecnica, spiegata dalla società di analisi blockchain TRM Labs, è un errore di configurazione risalente a marzo 2021: alcuni dispositivi Coldcard Mk3 con quel firmware, invece di affidarsi al generatore hardware di numeri casuali, sono tornati silenziosamente a un generatore software debole, seminato con dati non segreti del chip come numero di serie e registri dell’orologio. Il risultato: chiavi teoricamente forti 128 bit, in pratica indovinabili con appena 40 bit di entropia (la misura dell’imprevedibilità di un numero casuale) — alla portata di un attacco a forza bruta. Coldcard Mk4, Q e Mk5 non risultano coinvolti.
Il furto non si è fermato alla notte del 30-31 luglio. Secondo TRM Labs l’attacco è proseguito in quattro ondate, arrivando a sottrarre circa 1.816 BTC — circa 116 milioni di dollari — da oltre 5.200 indirizzi. Chi aveva generato un seed (la frase segreta da cui derivano tutte le chiavi di un wallet) su un Coldcard vulnerabile tra il 2021 e la patch si è ritrovato, di fatto, con fondi già compromessi anche se mai spostati.
Coinkite, l’azienda che produce Coldcard, ha reagito con un hotfix d’emergenza già il 31 luglio, seguito il 20 agosto da un firmware rinforzato (5.6.1 per Mk4/Mk5, 1.5.1Q per il modello Q) che introduce entropia fornita dall’utente e controlli più stringenti sui dati USB, secondo la ricostruzione di CryptoTimes. Ma l’azienda stessa ammette il limite di qualunque patch: chi ha generato un seed su firmware compromesso tra il 2021 e luglio 2026 deve comunque crearne uno nuovo e spostare i fondi, perché “installare il software più recente non può cambiare la sicurezza di un seed già generato”. È esattamente questo limite — una patch non retroattiva, un errore che nessun aggiornamento può disfare — a spiegare perché una parte della comunità abbia smesso di aspettarsi la sicurezza solo dal produttore.
Da Malaga alla spiaggia: nasce Entropical
È in questo clima che due nomi noti alla comunità Bitcoin spagnola hanno deciso di rispondere non con un thread su X, ma con un evento fisico. Alekqs, organizzatore di Bitcoin Málaga 2140 — community che descrive se stessa come uno dei punti di riferimento in Spagna — e relatore a BTC Prague in un panel dedicato proprio ad autocustodia e pianificazione ereditaria dei bitcoin, si è unito a Meduzot, sviluppatore e contributore a progetti open source Bitcoin, per organizzare Entropical · Entropy on the Tropical Coast.
La filosofia dell’evento è scritta nero su bianco sul loro sito: “la generazione di entropia che protegge i tuoi fondi è troppo importante per delegarla a un chip o a un marchio”. Non è un caso che il nome scelto sia proprio entropia — lo stesso concetto tecnico che, quando manipolato o indebolito da un bug, ha reso vulnerabili le chiavi Coldcard. Entropical vuole dimostrare che generare un seed a mano, con dadi e carta, resta un’abilità alla portata di chiunque non voglia dipendere ciecamente da un produttore.
Non è la prima iniziativa del genere legata ai due organizzatori: secondo il registro indipendente 2140meetups.com, Bitcoin Málaga 2140 organizza da anni incontri regolari su temi come privacy, Nostr, crittografia post-quantistica ed economie circolari Bitcoin. Entropical trasforma quello stesso format — di solito un paio d’ore in un locale cittadino — in un weekend immersivo lontano dagli schermi, spostando l’attenzione dalla community online a un’esperienza condivisa dal vivo.
Tre giorni senza schermi: il programma
L’evento si tiene al La Cochera Club di La Herradura, sulla Costa Tropical di Granada, con il supporto di Tropi Coworking. L’ammissione è gratuita e aperta a tutti, ma non ci sarà nessuna diretta streaming: gli organizzatori puntano deliberatamente su un’esperienza fisica e tangibile, non su un contenuto da consumare a distanza.
| Giorno | Attività |
|---|---|
| Venerdì 18 settembre | Meetup informale serale con birre di benvenuto |
| Sabato 19 settembre | Talk sulla responsabilità del self-banking, workshop di generazione manuale del seed, esercitazioni su testnet e multisig, quiz Bitcoin, dibattito in spiaggia |
| Domenica 20 settembre | Attività comunitaria: kayak, snorkeling e pranzo condiviso |
Cosa Ci Insegna Questa Storia
Il caso Coldcard ha già cambiato il modo in cui una parte della comunità pensa alla custodia: BitcoinLive24 ha raccontato come il bug abbia spinto molti utenti verso il multisig come nuovo standard di sicurezza, distribuendo la fiducia su più dispositivi invece che su uno solo. Entropical porta lo stesso principio un passo più in là: non basta diversificare l’hardware, bisogna anche capire davvero cosa succede dentro quell’hardware — a partire dalla generazione della chiave stessa.
È una lezione che vale oltre il singolo bug: nessun dispositivo, per quanto reputato “security-first”, sostituisce la comprensione di base di come vengono create le chiavi che proteggono i propri fondi. Un workshop pratico, per quanto piccolo, insegna in poche ore un principio che un comunicato stampa aziendale non riesce a trasmettere.
Il Quadro Più Ampio
Il caso non è ancora chiuso: BitcoinLive24 ha seguito passo passo il tentativo dell’hacker di riciclare il bottino, incluso il riciclaggio di 97 BTC della terza ondata tramite CoinJoin (tecnica che mescola transazioni di più utenti per offuscarne la provenienza). In questo contesto, iniziative come Entropical mostrano l’altra faccia della comunità Bitcoin: mentre gli investigatori on-chain inseguono i fondi rubati, gruppi locali come Bitcoin Málaga 2140 lavorano perché il prossimo bug — su un chip, un firmware, un fornitore qualsiasi — trovi utenti già capaci di proteggersi da soli.
È lo stesso spirito che anima decine di community bitcoiner in tutta Europa, da Praga a Malaga: meetup mensili, workshop tecnici, scambio di conoscenza diretto, senza intermediari. BitcoinLive24 continuerà a seguire sia gli sviluppi giudiziari del caso Coldcard sia le iniziative di autocustodia che ne stanno nascendo in risposta.
Domande Frequenti
Cos’è Entropical?
Entropical è un evento comunitario Bitcoin di tre giorni (18-20 settembre 2026) a La Herradura, in Spagna, dedicato all’autocustodia e alla generazione manuale delle chiavi private, organizzato da Alekqs (Bitcoin Málaga 2140) e dallo sviluppatore Meduzot.
Perché è nato Entropical?
Entropical nasce come risposta diretta al bug del firmware Coldcard che tra luglio e agosto 2026 ha permesso il furto di circa 1.816 BTC (116 milioni di dollari) da oltre 5.200 indirizzi, esponendo i rischi di affidarsi ciecamente alla generazione automatica delle chiavi.
Chi può partecipare a Entropical?
L’evento è gratuito e aperto a chiunque, senza necessità di essere sviluppatori o esperti tecnici: il programma include workshop introduttivi pensati anche per chi non ha mai generato un seed a mano.
Per restare aggiornato su ogni sviluppo del caso Coldcard e sulle iniziative di autocustodia Bitcoin, scarica l’app BitcoinLive24 e ricevi le notifiche in tempo reale.
