{"id":5313,"date":"2026-09-03T14:11:06","date_gmt":"2026-09-03T14:11:06","guid":{"rendered":"https:\/\/bitcoinlive24.com\/news\/coldcard-hacker-thorchain-bitcoin\/"},"modified":"2026-09-03T14:11:06","modified_gmt":"2026-09-03T14:11:06","slug":"coldcard-hacker-thorchain-bitcoin","status":"publish","type":"post","link":"https:\/\/bitcoinlive24.com\/news\/coldcard-hacker-thorchain-bitcoin\/","title":{"rendered":"Coldcard: l&#8217;Hacker del Furto da $114,7M Muove i Primi Bitcoin"},"content":{"rendered":"<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_82_2 counter-hierarchy ez-toc-counter ez-toc-transparent ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Table of Contents<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Toggle Table of Content\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-1'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/bitcoinlive24.com\/news\/coldcard-hacker-thorchain-bitcoin\/#Coldcard_lHacker_del_Furto_da_1147M_Muove_i_Primi_Bitcoin\" >Coldcard: l&#8217;Hacker del Furto da $114,7M Muove i Primi Bitcoin<\/a><ul class='ez-toc-list-level-2' ><li class='ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/bitcoinlive24.com\/news\/coldcard-hacker-thorchain-bitcoin\/#Cosa_e_Successo_il_Movimento_via_THORChain\" >Cosa \u00e8 Successo: il Movimento via THORChain<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/bitcoinlive24.com\/news\/coldcard-hacker-thorchain-bitcoin\/#Il_Bug_Coldcard_del_2021_Come_e_Nato_il_Furto\" >Il Bug Coldcard del 2021: Come \u00e8 Nato il Furto<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/bitcoinlive24.com\/news\/coldcard-hacker-thorchain-bitcoin\/#I_Precedenti_Movimenti_da_Wasabi_a_Tornado_Cash\" >I Precedenti Movimenti: da Wasabi a Tornado Cash<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/bitcoinlive24.com\/news\/coldcard-hacker-thorchain-bitcoin\/#I_Numeri_del_Cluster_%E2%80%9CWave_3%E2%80%9D\" >I Numeri del Cluster &#8220;Wave 3&#8221;<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"https:\/\/bitcoinlive24.com\/news\/coldcard-hacker-thorchain-bitcoin\/#Perche_Conta_per_la_Sicurezza_Bitcoin\" >Perch\u00e9 Conta per la Sicurezza Bitcoin<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-7\" href=\"https:\/\/bitcoinlive24.com\/news\/coldcard-hacker-thorchain-bitcoin\/#Domande_Frequenti\" >Domande Frequenti<\/a><\/li><\/ul><\/li><\/ul><\/nav><\/div>\n<h1><span class=\"ez-toc-section\" id=\"Coldcard_lHacker_del_Furto_da_1147M_Muove_i_Primi_Bitcoin\"><\/span>Coldcard: l&#8217;Hacker del Furto da $114,7M Muove i Primi Bitcoin<span class=\"ez-toc-section-end\"><\/span><\/h1>\n\n<p class=\"wp-block-paragraph\">Il cluster di indirizzi legato al pi\u00f9 grande furto di Bitcoin dai wallet hardware <strong>Coldcard<\/strong> \u00e8 tornato attivo dopo settimane di silenzio: secondo Galaxy Research, l&#8217;analista Alex Thorn ha rilevato lo spostamento di circa <strong>20,5 BTC<\/strong> attraverso il protocollo cross-chain <strong>THORChain<\/strong> (un sistema che permette di scambiare Bitcoin con altri asset senza passare da un exchange centralizzato), convertiti in Ether su un nuovo indirizzo. \u00c8 il primo movimento osservato dagli indirizzi originali della cosiddetta &#8220;Wave 3&#8221;, il cluster da <strong>1.789 BTC<\/strong> (circa $114,7 milioni al momento del furto, su 8.865 indirizzi) legato alla falla scoperta nel 2021 sui dispositivi Coldcard. Il nuovo indirizzo Ethereum di destinazione \u00e8 stato condiviso con le autorit\u00e0 competenti.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Cosa_e_Successo_il_Movimento_via_THORChain\"><\/span>Cosa \u00e8 Successo: il Movimento via THORChain<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<p class=\"wp-block-paragraph\">Secondo il tracciamento on-chain di Galaxy Research, riportato mercoled\u00ec sera da Alex Thorn, il cluster &#8220;Wave 3&#8221; ha instradato circa il <strong>10% dei fondi rimasti<\/strong> attraverso THORChain, convertendo Bitcoin in Ether su un indirizzo Ethereum di nuova creazione. Il restante <strong>90%<\/strong> dei fondi resta parcheggiato negli indirizzi originali, invariato dal momento del furto.<\/p>\n\n<p class=\"wp-block-paragraph\">Un dettaglio tecnico rende la mossa particolarmente interessante per chi analizza il comportamento degli hacker: secondo <a href=\"https:\/\/www.tftc.io\/coldcard-wave-3-attacker-thorchain-btc-eth-swap\" rel=\"nofollow noopener\" target=\"_blank\">TFTC<\/a>, l&#8217;attaccante ha ricevuto ripetuti errori di rimborso da THORChain e ha continuato a ritentare la transazione. Questo pattern suggerisce un <strong>test del percorso di riciclaggio<\/strong> pi\u00f9 che un vero e proprio tentativo di incasso su larga scala \u2014 un comportamento tipico di chi verifica la tenuta di una rotta prima di spostare somme maggiori.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Il_Bug_Coldcard_del_2021_Come_e_Nato_il_Furto\"><\/span>Il Bug Coldcard del 2021: Come \u00e8 Nato il Furto<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<p class=\"wp-block-paragraph\">La vulnerabilit\u00e0 alla base del furto risale a un <strong>firmware con generatore di numeri casuali (RNG) difettoso<\/strong> distribuito nel marzo 2021 sui dispositivi Coldcard Mk3, Mk4, Mk5 e Q. Il difetto rendeva le chiavi private <strong>matematicamente ricostruibili<\/strong> senza che l&#8217;attaccante dovesse mai toccare fisicamente il dispositivo della vittima \u2014 la causa tecnica che <a href=\"https:\/\/bitcoinlive24.com\/news\/coldcard-bug-multisig-custodia-bitcoin\/\">BitcoinLive24 aveva gi\u00e0 raccontato lo scorso 27 agosto<\/a>, quando la stima iniziale dell&#8217;impatto complessivo dell&#8217;exploit si aggirava sui $100 milioni.<\/p>\n\n<p class=\"wp-block-paragraph\">Da allora Galaxy Research ha affinato il tracciamento on-chain, isolando cluster distinti di indirizzi colpiti dallo stesso exploit. &#8220;Wave 3&#8221; \u00e8 uno di questi: 1.789 BTC sottratti da 8.865 indirizzi, per un valore di <strong>$114,7 milioni al momento del furto<\/strong> \u2014 una cifra riferita al prezzo di Bitcoin nel periodo in cui i fondi furono sottratti, non al valore attuale.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"I_Precedenti_Movimenti_da_Wasabi_a_Tornado_Cash\"><\/span>I Precedenti Movimenti: da Wasabi a Tornado Cash<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<p class=\"wp-block-paragraph\">Non \u00e8 la prima volta che il cluster mostra attivit\u00e0. Secondo dati <a href=\"https:\/\/cointelegraph.com\/news\/coldcard-hacker-swaps-stolen-bitcoin-eth-thorchain\" rel=\"dofollow noopener\" target=\"_blank\">CertiK citati da Cointelegraph<\/a>, lo scorso agosto lo stesso gruppo di indirizzi aveva gi\u00e0 spostato <strong>64 BTC verso Wasabi<\/strong> (un wallet con funzione CoinJoin, che mescola le transazioni di pi\u00f9 utenti per rendere pi\u00f9 difficile il tracciamento) e <strong>200 ETH verso Tornado Cash<\/strong>, il mixer Ethereum sanzionato pi\u00f9 volte dalle autorit\u00e0 statunitensi.<\/p>\n\n<p class=\"wp-block-paragraph\">Il ricorso a strumenti diversi \u2014 CoinJoin, mixer Ethereum, ora un protocollo cross-chain \u2014 riflette un pattern gi\u00e0 osservato in altri casi di riciclaggio di Bitcoin rubati che <strong>BitcoinLive24<\/strong> ha seguito nelle scorse settimane, dal <a href=\"https:\/\/bitcoinlive24.com\/news\/lazarus-group-bitcoin-hyperliquid-corea-nord\/\">gruppo Lazarus nordcoreano su Hyperliquid<\/a> alla <a href=\"https:\/\/bitcoinlive24.com\/news\/sality-botnet-bitcoin-fbi-russia\/\">botnet russa Sality smantellata dall&#8217;FBI<\/a>: gli attaccanti frammentano i movimenti su pi\u00f9 protocolli per complicare il lavoro degli analisti forensi.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"I_Numeri_del_Cluster_%E2%80%9CWave_3%E2%80%9D\"><\/span>I Numeri del Cluster &#8220;Wave 3&#8221;<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<figure class=\"wp-block-table\"><div style=\"overflow-x:auto\"><table>\n<thead><tr><th>Dato<\/th><th>Valore<\/th><th>Fonte<\/th><\/tr><\/thead>\n<tbody>\n<tr><td>Totale rubato (cluster Wave 3)<\/td><td>1.789 BTC (~$114,7M al momento del furto)<\/td><td>Galaxy Research<\/td><\/tr>\n<tr><td>Indirizzi coinvolti<\/td><td>8.865<\/td><td>Galaxy Research<\/td><\/tr>\n<tr><td>BTC spostati via THORChain (2-3 settembre)<\/td><td>~20,5 BTC (~10% del cluster)<\/td><td>Alex Thorn \/ Galaxy Research<\/td><\/tr>\n<tr><td>Fondi ancora fermi<\/td><td>~90% del cluster<\/td><td>Galaxy Research<\/td><\/tr>\n<tr><td>Movimento precedente (agosto)<\/td><td>64 BTC \u2192 Wasabi, 200 ETH \u2192 Tornado Cash<\/td><td>CertiK<\/td><\/tr>\n<tr><td>Causa tecnica originale<\/td><td>Firmware RNG difettoso, marzo 2021 (Mk3\/Mk4\/Mk5\/Q)<\/td><td>Coinkite<\/td><\/tr>\n<\/tbody>\n<\/table><\/div><\/figure>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Perche_Conta_per_la_Sicurezza_Bitcoin\"><\/span>Perch\u00e9 Conta per la Sicurezza Bitcoin<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<p class=\"wp-block-paragraph\">Il caso Coldcard resta uno dei promemoria pi\u00f9 concreti sui limiti dell&#8217;autocustodia con un singolo dispositivo (<strong>single-sig<\/strong>): le configurazioni multisig con hardware di produttori diversi, spiegava gi\u00e0 l&#8217;articolo di agosto, sono risultate strutturalmente immuni allo stesso difetto, perch\u00e9 nessun singolo firmware compromesso pu\u00f2 da solo ricostruire una chiave privata condivisa su pi\u00f9 dispositivi.<\/p>\n\n<p class=\"wp-block-paragraph\">Per gli analisti on-chain, il fatto che il movimento riguardi solo il 10% del cluster, con ripetuti errori di rimborso su THORChain, indica che l&#8217;attaccante sta ancora <strong>testando la tenuta della rotta di riciclaggio<\/strong> pi\u00f9 che tentare un incasso definitivo. Il tracciamento pubblico di Galaxy Research \u2014 e la condivisione del nuovo indirizzo Ethereum con le autorit\u00e0 \u2014 riduce peraltro le probabilit\u00e0 che il resto dei fondi venga liquidato senza lasciare tracce identificabili.<\/p>\n\n<p class=\"wp-block-paragraph\">Su <strong>BitcoinLive24<\/strong> continuiamo a seguire l&#8217;evoluzione del caso Coldcard, dal bug originale alle mosse di riciclaggio del cluster &#8220;Wave 3&#8221;.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Domande_Frequenti\"><\/span>Domande Frequenti<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Cos&#8217;\u00e8 successo al cluster Coldcard &#8220;Wave 3&#8221;?<\/strong><br>\nGalaxy Research ha rilevato il primo movimento di fondi dal cluster di indirizzi legato al furto Coldcard: circa 20,5 BTC sono stati convertiti in Ether tramite il protocollo THORChain e inviati a un nuovo indirizzo Ethereum, condiviso con le autorit\u00e0.<\/p>\n\n<p class=\"wp-block-paragraph\"><strong>Quanti Bitcoin sono stati rubati in totale nel cluster Wave 3?<\/strong><br>\n1.789 BTC da 8.865 indirizzi, per un valore stimato di $114,7 milioni al momento del furto, secondo il tracciamento di Galaxy Research.<\/p>\n\n<p class=\"wp-block-paragraph\"><strong>Cos&#8217;\u00e8 THORChain e perch\u00e9 l&#8217;hacker lo ha usato?<\/strong><br>\nTHORChain \u00e8 un protocollo decentralizzato che permette di scambiare asset tra blockchain diverse (in questo caso Bitcoin ed Ethereum) senza passare da un exchange centralizzato, rendendo pi\u00f9 difficile bloccare i fondi.<\/p>\n\n<p class=\"wp-block-paragraph\"><strong>Da cosa deriva il bug originale dei wallet Coldcard?<\/strong><br>\nDa un firmware con generatore di numeri casuali difettoso, distribuito nel marzo 2021 sui modelli Mk3, Mk4, Mk5 e Q, che rendeva le chiavi private ricostruibili matematicamente senza accesso fisico al dispositivo.<\/p>\n\n<p class=\"wp-block-paragraph\"><strong>Il resto dei fondi rubati verr\u00e0 recuperato?<\/strong><br>\nNon \u00e8 garantito: il 90% del cluster Wave 3 resta per ora negli indirizzi originali. Galaxy Research monitora la situazione e ha condiviso il nuovo indirizzo Ethereum con le autorit\u00e0 competenti.<\/p>\n\n<p class=\"wp-block-paragraph\">\ud83d\udcf2 <a href=\"https:\/\/bitcoinlive24.com\">Scarica l&#8217;app BitcoinLive24<\/a> per ricevere una notifica push ogni volta che Bitcoin si muove.<\/p>\n\n<p class=\"wp-block-paragraph\"><em>Fonti: <a href=\"https:\/\/cointelegraph.com\/news\/coldcard-hacker-swaps-stolen-bitcoin-eth-thorchain\" rel=\"dofollow noopener\" target=\"_blank\">Cointelegraph<\/a>, <a href=\"https:\/\/www.tftc.io\/coldcard-wave-3-attacker-thorchain-btc-eth-swap\" rel=\"nofollow noopener\" target=\"_blank\">TFTC<\/a>, <a href=\"https:\/\/www.cryptotimes.io\/2026\/09\/03\/coldcard-hacker-converts-20-5-bitcoin-to-eth-after-weeks-of-inactivity\/\" rel=\"nofollow noopener\" target=\"_blank\">CryptoTimes<\/a>. Analisi on-chain: Galaxy Research (Alex Thorn).<\/em><\/p>","protected":false},"excerpt":{"rendered":"<p>Coldcard: l&#8217;Hacker del Furto da $114,7M Muove i Primi Bitcoin Il cluster di indirizzi legato al pi\u00f9 grande furto di Bitcoin dai wallet hardware Coldcard&#8230;<\/p>\n","protected":false},"author":4,"featured_media":4277,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[608],"tags":[],"class_list":["post-5313","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novita"],"_links":{"self":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/5313","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/comments?post=5313"}],"version-history":[{"count":0,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/5313\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media\/4277"}],"wp:attachment":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media?parent=5313"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/categories?post=5313"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/tags?post=5313"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}