{"id":4829,"date":"2026-08-06T00:11:44","date_gmt":"2026-08-06T00:11:44","guid":{"rendered":"https:\/\/bitcoinlive24.com\/news\/bitcoin-red-team-audit-coldcard\/"},"modified":"2026-08-06T00:11:44","modified_gmt":"2026-08-06T00:11:44","slug":"bitcoin-red-team-audit-coldcard","status":"publish","type":"post","link":"https:\/\/bitcoinlive24.com\/news\/bitcoin-red-team-audit-coldcard\/","title":{"rendered":"Bitcoin Red Team: 85 Falle Critiche Trovate dall&#8217;AI"},"content":{"rendered":"<p class=\"wp-block-paragraph\">Il <strong>Bitcoin Red Team<\/strong>, un gruppo di volontari guidato dallo sviluppatore <strong>Calle<\/strong> e da <strong>Rob Hamilton<\/strong>, CEO della societa&#8217; di assicurazione per l&#8217;autocustodia Anchorwatch, ha usato modelli di intelligenza artificiale per controllare 390 repository open source dell&#8217;ecosistema Bitcoin, individuando 4.962 segnalazioni di sicurezza in 27,5 ore, di cui 85 critiche. L&#8217;iniziativa e&#8217; nata dopo l&#8217;exploit sui portafogli hardware Coldcard, che a fine luglio 2026 ha sottratto oltre 100 milioni di dollari in Bitcoin per un bug nel generatore di numeri casuali (RNG). Lo ha reso noto lo stesso Calle in un aggiornamento pubblico datato 5 agosto 2026.<\/p>\n\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_82_2 counter-hierarchy ez-toc-counter ez-toc-transparent ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Table of Contents<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Toggle Table of Content\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-red-team-audit-coldcard\/#Chi_e_il_Bitcoin_Red_Team_e_Perche_e_Nato_Ora\" >Chi e&#8217; il Bitcoin Red Team e Perche&#8217; e&#8217; Nato Ora<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-red-team-audit-coldcard\/#I_Numeri_dellAudit_4962_Segnalazioni_in_390_Repository\" >I Numeri dell&#8217;Audit: 4.962 Segnalazioni in 390 Repository<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-red-team-audit-coldcard\/#I_Modelli_AI_Usati_e_il_Ruolo_di_OpenSats\" >I Modelli AI Usati e il Ruolo di OpenSats<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-red-team-audit-coldcard\/#La_Stessa_AI_Usata_per_Difendere_e_per_Attaccare\" >La Stessa AI Usata per Difendere e per Attaccare<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-red-team-audit-coldcard\/#Cosa_Cambia_per_Sviluppatori_e_Utenti_Bitcoin\" >Cosa Cambia per Sviluppatori e Utenti Bitcoin<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-red-team-audit-coldcard\/#Conclusioni\" >Conclusioni<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-7\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-red-team-audit-coldcard\/#Domande_Frequenti\" >Domande Frequenti<\/a><\/li><\/ul><\/nav><\/div>\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Chi_e_il_Bitcoin_Red_Team_e_Perche_e_Nato_Ora\"><\/span>Chi e&#8217; il Bitcoin Red Team e Perche&#8217; e&#8217; Nato Ora<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<p class=\"wp-block-paragraph\">Il Bitcoin Red Team ha raccolto oltre 40.000$ in token AI da <a href=\"https:\/\/opensats.org\" target=\"_blank\" rel=\"noopener\">OpenSats<\/a>, organizzazione no-profit 501(c)(3) dedicata a progetti open source Bitcoin, per finanziare l&#8217;audit lanciato dopo l&#8217;ondata di furti dai Coldcard MK3 e MK4 di fine luglio 2026. Il gruppo non e&#8217; un&#8217;organizzazione formale ma un&#8217;iniziativa coordinata da due persone: Calle, ingegnere software e creatore della versione Android dell&#8217;app di messaggistica Bitchat, e Rob Hamilton, CEO della societa&#8217; di assicurazione per l&#8217;autocustodia Anchorwatch \u2014 soprannominati scherzosamente &#8220;CEO e CTO di Bitcoin&#8221; nei meme circolati sui social.<\/p>\n\n<p class=\"wp-block-paragraph\">BitcoinLive24 ha seguito le fasi principali dell&#8217;ondata di furti Coldcard, incluso il <a href=\"https:\/\/bitcoinlive24.com\/news\/ledger-cto-multisig-coldcard\/\">dibattito sul multisig rilanciato dal CTO di Ledger<\/a>. Con quel budget, i due hanno messo insieme un gruppo di sviluppatori per sottoporre il codice open source di Bitcoin a un controllo intensivo con l&#8217;aiuto dell&#8217;AI.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"I_Numeri_dellAudit_4962_Segnalazioni_in_390_Repository\"><\/span>I Numeri dell&#8217;Audit: 4.962 Segnalazioni in 390 Repository<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<p class=\"wp-block-paragraph\">&#8220;27,5 ore dopo l&#8217;inizio, abbiamo depositato 4.962 segnalazioni su 390 progetti. 85 critiche e 635 ad alta severita&#8217;. Siamo a 2,31 segnalazioni critiche+alte per persona all&#8217;ora&#8221;, ha scritto Calle in un <a href=\"https:\/\/x.com\/callebtc\/status\/2085035257477190080\" target=\"_blank\" rel=\"noopener\">aggiornamento pubblicato su X<\/a> il 5 agosto 2026. Il ritmo descritto da Calle da&#8217; la misura della scala dell&#8217;operazione, condotta da un gruppo relativamente piccolo di volontari con il supporto di modelli AI invece che da un singolo team di sicurezza tradizionale.<\/p>\n\n<p class=\"wp-block-paragraph\">Alla base del lavoro c&#8217;e&#8217; un harness (un&#8217;infrastruttura software su misura) costruito appositamente per identificare librerie critiche e codice ad alto impatto, riprodurre le vulnerabilita&#8217; trovate e trasformarle in report utilizzabili dagli sviluppatori. Secondo quanto riportato da <a href=\"https:\/\/bitcoinmagazine.com\/business\/bitcoin-red-team-finds-85-critical-flaws-across-390-open-source-repos-after-coldcard-exploit\" target=\"_blank\" rel=\"nofollow noopener\">Bitcoin Magazine<\/a>, l&#8217;harness conta 171.599 righe di codice e il Red Team intende renderlo open source, cosi&#8217; che anche le aziende con codice proprietario possano testarlo autonomamente.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"I_Modelli_AI_Usati_e_il_Ruolo_di_OpenSats\"><\/span>I Modelli AI Usati e il Ruolo di OpenSats<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<p class=\"wp-block-paragraph\">Il Red Team ha impiegato piu&#8217; modelli linguistici in parallelo: Kimi K3, GPT Sol, Fable, Opus e GLM5.2. Nelle fasi iniziali l&#8217;accesso ai modelli di OpenAI e Anthropic era limitato, spingendo il gruppo a fare maggiore affidamento su modelli open-source cinesi \u2014 una circostanza che diversi osservatori dell&#8217;industria hanno letto come un segnale critico sulla competitivita&#8217; dei laboratori AI statunitensi. Con la crescita di visibilita&#8217; del progetto dopo l&#8217;hack Coldcard, il Red Team ha poi ottenuto accesso confermato a GPT Sol di OpenAI, mentre il riferimento di Hamilton a Fable in un tweet del 4 agosto suggerisce l&#8217;apertura di un canale anche con Anthropic.<\/p>\n\n<p class=\"wp-block-paragraph\">Il finanziamento di <strong>OpenSats<\/strong> resta il singolo elemento che ha reso possibile la scala dell&#8217;operazione: senza un budget dedicato ai token AI, un audit di questa ampiezza su 390 repository sarebbe stato fuori portata per un gruppo di volontari.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"La_Stessa_AI_Usata_per_Difendere_e_per_Attaccare\"><\/span>La Stessa AI Usata per Difendere e per Attaccare<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<p class=\"wp-block-paragraph\">La tempistica dell&#8217;iniziativa non e&#8217; casuale: il 4 agosto 2026, pochi giorni prima, l&#8217;exchange di swap Boltz aveva sospeso temporaneamente le operazioni perche&#8217;, <a href=\"https:\/\/bitcoinlive24.com\/news\/boltz-swap-bitcoin-hack-ai\/\">come riportato da BitcoinLive24<\/a>, l&#8217;intelligenza artificiale starebbe accelerando anche il lato offensivo degli attacchi contro l&#8217;infrastruttura Bitcoin. Il Bitcoin Red Team nasce quindi come risposta simmetrica: usare la stessa categoria di strumenti \u2014 modelli AI applicati alla ricerca di vulnerabilita&#8217; \u2014 per anticipare gli attaccanti invece di rincorrerli.<\/p>\n\n<p class=\"wp-block-paragraph\">Hamilton ha definito il bug RNG sfruttato su Coldcard un &#8220;attacco spirituale&#8221; all&#8217;ethos dell&#8217;autocustodia Bitcoin, chiudendo il suo aggiornamento con un messaggio di continuita&#8217;: per il Red Team, l&#8217;autocustodia resta un principio non negoziabile della rete, a prescindere dai rischi emersi con l&#8217;ultimo exploit.<\/p>\n\n<figure class=\"wp-block-table\"><div style=\"overflow-x:auto\"><figure class=\"wp-block-table\"><div style=\"overflow-x:auto\"><table>\n<tr><th>Metrica<\/th><th>Valore<\/th><\/tr>\n<tr><td>Repository open source auditati<\/td><td>390<\/td><\/tr>\n<tr><td>Segnalazioni totali<\/td><td>4.962<\/td><\/tr>\n<tr><td>Segnalazioni critiche<\/td><td>85<\/td><\/tr>\n<tr><td>Segnalazioni ad alta severita&#8217;<\/td><td>635<\/td><\/tr>\n<tr><td>Velocita&#8217; rilevata<\/td><td>2,31 critiche+alte per persona\/ora<\/td><\/tr>\n<tr><td>Tempo impiegato<\/td><td>27,5 ore<\/td><\/tr>\n<tr><td>Budget in token AI<\/td><td>oltre 40.000$ (OpenSats)<\/td><\/tr>\n<tr><td>Righe di codice dell&#8217;harness<\/td><td>171.599<\/td><\/tr>\n<\/table><\/div><\/figure><\/div><\/figure>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Cosa_Cambia_per_Sviluppatori_e_Utenti_Bitcoin\"><\/span>Cosa Cambia per Sviluppatori e Utenti Bitcoin<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<p class=\"wp-block-paragraph\">I 390 repository coinvolti nell&#8217;audit ricevono ora segnalazioni dirette da Hamilton o Calle \u2014 scambi diventati oggetto di ironia sui social per il tono improvviso con cui arrivano i messaggi, secondo quanto descritto da Bitcoin Magazine. Il Red Team sta contattando attivamente i progetti con vulnerabilita&#8217; critiche per una divulgazione responsabile, prima che i dettagli tecnici diventino pubblici.<\/p>\n\n<p class=\"wp-block-paragraph\">Per chi usa Bitcoin, la ricaduta e&#8217; indiretta ma concreta: un audit di questa scala su librerie ad alto impatto puo&#8217; prevenire un secondo caso Coldcard prima che si materializzi. Al momento della stesura Bitcoin viene scambiato intorno ai <a href=\"https:\/\/www.coingecko.com\/en\/coins\/bitcoin\" target=\"_blank\" rel=\"noopener\">64.576$<\/a> (+0,84% nelle 24 ore secondo CoinGecko), senza reazioni di prezzo riconducibili alla notizia: il mercato tratta l&#8217;iniziativa come una questione di sicurezza infrastrutturale, non come un catalizzatore di breve termine.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Conclusioni\"><\/span>Conclusioni<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<p class=\"wp-block-paragraph\">Il Bitcoin Red Team mostra come l&#8217;ecosistema stia rispondendo all&#8217;exploit Coldcard non solo con patch puntuali, ma con un cambio di scala nel modo in cui il codice open source viene controllato. Con l&#8217;harness destinato a diventare open source, l&#8217;esperimento di Calle e Hamilton potrebbe trasformarsi da risposta di emergenza a pratica ricorrente di sicurezza per l&#8217;intera industria Bitcoin.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Domande_Frequenti\"><\/span>Domande Frequenti<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Cos&#8217;e&#8217; il Bitcoin Red Team?<\/strong><br>\nE&#8217; un&#8217;iniziativa informale guidata dallo sviluppatore Calle e da Rob Hamilton (CEO di Anchorwatch) che usa modelli di intelligenza artificiale per individuare vulnerabilita&#8217; nel codice open source di Bitcoin, nata dopo l&#8217;exploit sui portafogli Coldcard.<\/p>\n\n<p class=\"wp-block-paragraph\"><strong>Quante vulnerabilita&#8217; ha trovato l&#8217;audit?<\/strong><br>\nIn 27,5 ore il Red Team ha depositato 4.962 segnalazioni su 390 repository, di cui 85 classificate come critiche e 635 ad alta severita&#8217;, secondo l&#8217;aggiornamento pubblicato da Calle su X il 5 agosto 2026.<\/p>\n\n<p class=\"wp-block-paragraph\"><strong>Chi finanzia il Bitcoin Red Team?<\/strong><br>\nLe spese, oltre 40.000$ in token per i modelli AI utilizzati, sono coperte da OpenSats, organizzazione no-profit statunitense che finanzia progetti open source legati a Bitcoin.<\/p>\n\n<p class=\"wp-block-paragraph\"><strong>Il Bitcoin Red Team ha un sito o un repository pubblico?<\/strong><br>\nAl momento della stesura no: il gruppo non ha ancora un sito ufficiale ne&#8217; un repository GitHub pubblico, ma ha dichiarato l&#8217;intenzione di rendere open source l&#8217;harness usato per gli audit.<\/p>\n\n<p class=\"wp-block-paragraph\">Per restare aggiornato sulla sicurezza di Bitcoin, <a href=\"https:\/\/bitcoinlive24.com\">scarica l&#8217;app di BitcoinLive24<\/a>.<\/p>","protected":false},"excerpt":{"rendered":"<p>Il Bitcoin Red Team, un gruppo di volontari guidato dallo sviluppatore Calle e da Rob Hamilton, CEO della societa&#8217; di assicurazione per l&#8217;autocustodia Anchorwatch, ha&#8230;<\/p>\n","protected":false},"author":2,"featured_media":265,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[12],"tags":[],"class_list":["post-4829","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia"],"_links":{"self":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/4829","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/comments?post=4829"}],"version-history":[{"count":0,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/4829\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media\/265"}],"wp:attachment":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media?parent=4829"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/categories?post=4829"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/tags?post=4829"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}