Il caso Coldcard: 130 milioni di dollari rubati sfruttando un bug del firmware
Un bug nell'entropia di generazione delle seed phrase, introdotto a marzo 2021, ha permesso ad attaccanti di ricostruire le chiavi private da remoto, prosciugando 2.055 BTC (130 milioni di dollari) da oltre 7.700 wall... Coinkite ha rilasciato un firmware corretto in 24 ore, ma ha avvertito che le vecchie seed phras...
Pubblicato daModificato con DeepSeek-V4-FlashImmagini generate con GPT Image 1.5
Un bug nell'entropia di generazione delle seed phrase, introdotto a marzo 2021, ha permesso ad attaccanti di ricostruire le chiavi private da remoto, prosciugando 2.055 BTC (130 milioni di dollari) da oltre 7.700 wall...
Coinkite ha rilasciato un firmware corretto in 24 ore, ma ha avvertito che le vecchie seed phrase restano permanentemente compromesse: gli utenti colpiti devono creare nuovi wallet e trasferire i fondi.
L'attacco ha infranto la convinzione che i wallet hardware siano immuni da furti remoti di seed e ha accelerato l'adozione di audit basati sull'IA e di una verifica più rigorosa dell'entropia.
What are the key details of the Coldcard hardware wallet hack, including how the firmware vulnerability was exploited, the scale and timelinThe Coldcard Mk3 hardware wallet, whose firmware entropy bug enabled the largest hardware wallet hack on record.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What are the key details of the Coldcard hardware wallet hack, including how the firmware vulnerability was exploited, the scale and timelin. Article summary: Here is a complete breakdown of the Coldcard hardware wallet hack as of August 8, 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidenc
openai.com
L'attacco ai wallet hardware Coldcard è il più grande compromesso di wallet hardware mai registrato, con perdite che superano i 130 milioni di dollari e oltre 7.700 indirizzi Bitcoin coinvolti. Al 7 agosto 2026, l'attaccante ha mosso solo una piccola frazione del bottino, ma il movimento ha acceso i riflettori. Ecco tutto quello che c'è da sapere sulla vulnerabilità, la cronologia dell'attacco e le prospettive future.
Come funziona l'exploit: un bug del firmware vecchio di cinque anni
La causa principale è un bug nell'entropia di generazione delle seed phrase, introdotto nel firmware Coldcard versione 4.0.1, rilasciato a marzo 2021 . Una singola modifica al codice — il flag di compilazione — ha fatto sì che i dispositivi interessati bypassassero il generatore hardware di numeri casuali (RNG) STM32 dedicato durante la creazione della seed phrase . Invece di produrre 128 bit di vera casualità, il firmware è ricaduto su un generatore software deterministico di numeri pseudocasuali, riducendo l'entropia effettiva fino a soli 40 bit sui dispositivi più vecchi .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Il caso Coldcard: 130 milioni di dollari rubati sfruttando un bug del firmware"?
Un bug nell'entropia di generazione delle seed phrase, introdotto a marzo 2021, ha permesso ad attaccanti di ricostruire le chiavi private da remoto, prosciugando 2.055 BTC (130 milioni di dollari) da oltre 7.700 wall...
What are the key points to validate first?
Un bug nell'entropia di generazione delle seed phrase, introdotto a marzo 2021, ha permesso ad attaccanti di ricostruire le chiavi private da remoto, prosciugando 2.055 BTC (130 milioni di dollari) da oltre 7.700 wall... Coinkite ha rilasciato un firmware corretto in 24 ore, ma ha avvertito che le vecchie seed phrase restano permanentemente compromesse: gli utenti colpiti devono creare nuovi wallet e trasferire i fondi.
What should I do next in practice?
L'attacco ha infranto la convinzione che i wallet hardware siano immuni da furti remoti di seed e ha accelerato l'adozione di audit basati sull'IA e di una verifica più rigorosa dell'entropia.
Il caso Coldcard: 130 milioni di dollari rubati sfruttando un bug del firmware
Un bug nell'entropia di generazione delle seed phrase, introdotto a marzo 2021, ha permesso ad attaccanti di ricostruire le chiavi private da remoto, prosciugando 2.055 BTC (130 milioni di dollari) da oltre 7.700 wall... Coinkite ha rilasciato un firmware corretto in 24 ore, ma ha avvertito che le vecchie seed phras...
Pubblicato daModificato con DeepSeek-V4-FlashImmagini generate con GPT Image 1.5
Un bug nell'entropia di generazione delle seed phrase, introdotto a marzo 2021, ha permesso ad attaccanti di ricostruire le chiavi private da remoto, prosciugando 2.055 BTC (130 milioni di dollari) da oltre 7.700 wall...
Coinkite ha rilasciato un firmware corretto in 24 ore, ma ha avvertito che le vecchie seed phrase restano permanentemente compromesse: gli utenti colpiti devono creare nuovi wallet e trasferire i fondi.
L'attacco ha infranto la convinzione che i wallet hardware siano immuni da furti remoti di seed e ha accelerato l'adozione di audit basati sull'IA e di una verifica più rigorosa dell'entropia.
What are the key details of the Coldcard hardware wallet hack, including how the firmware vulnerability was exploited, the scale and timelinThe Coldcard Mk3 hardware wallet, whose firmware entropy bug enabled the largest hardware wallet hack on record.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What are the key details of the Coldcard hardware wallet hack, including how the firmware vulnerability was exploited, the scale and timelin. Article summary: Here is a complete breakdown of the Coldcard hardware wallet hack as of August 8, 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidenc
openai.com
L'attacco ai wallet hardware Coldcard è il più grande compromesso di wallet hardware mai registrato, con perdite che superano i 130 milioni di dollari e oltre 7.700 indirizzi Bitcoin coinvolti. Al 7 agosto 2026, l'attaccante ha mosso solo una piccola frazione del bottino, ma il movimento ha acceso i riflettori. Ecco tutto quello che c'è da sapere sulla vulnerabilità, la cronologia dell'attacco e le prospettive future.
Come funziona l'exploit: un bug del firmware vecchio di cinque anni
La causa principale è un bug nell'entropia di generazione delle seed phrase, introdotto nel firmware Coldcard versione 4.0.1, rilasciato a marzo 2021 . Una singola modifica al codice — il flag di compilazione — ha fatto sì che i dispositivi interessati bypassassero il generatore hardware di numeri casuali (RNG) STM32 dedicato durante la creazione della seed phrase . Invece di produrre 128 bit di vera casualità, il firmware è ricaduto su un generatore software deterministico di numeri pseudocasuali, riducendo l'entropia effettiva fino a soli 40 bit sui dispositivi più vecchi .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Il caso Coldcard: 130 milioni di dollari rubati sfruttando un bug del firmware"?
Un bug nell'entropia di generazione delle seed phrase, introdotto a marzo 2021, ha permesso ad attaccanti di ricostruire le chiavi private da remoto, prosciugando 2.055 BTC (130 milioni di dollari) da oltre 7.700 wall...
What are the key points to validate first?
Un bug nell'entropia di generazione delle seed phrase, introdotto a marzo 2021, ha permesso ad attaccanti di ricostruire le chiavi private da remoto, prosciugando 2.055 BTC (130 milioni di dollari) da oltre 7.700 wall... Coinkite ha rilasciato un firmware corretto in 24 ore, ma ha avvertito che le vecchie seed phrase restano permanentemente compromesse: gli utenti colpiti devono creare nuovi wallet e trasferire i fondi.
What should I do next in practice?
L'attacco ha infranto la convinzione che i wallet hardware siano immuni da furti remoti di seed e ha accelerato l'adozione di audit basati sull'IA e di una verifica più rigorosa dell'entropia.
L'attaccante non ha avuto bisogno di accesso fisico, email di phishing o malware. Ricostruendo l'output di entropia indebolito, poteva ricostruire le seed phrase di 12 o 24 parole delle vittime da remoto e prosciugare wallet che non erano mai stati connessi a Internet .
Il CEO di Coldcard, Rodolfo Novak, ha confermato il problema il 30 luglio 2026, suggerendo che la vulnerabilità potrebbe essere stata scoperta utilizzando strumenti di IA in grado di scansionare il firmware open-source alla ricerca di debolezze di entropia su larga scala .
Dimensioni e cronologia del furto
L'attacco si è sviluppato in più ondate coordinate:
30 luglio — Prima ondata: In un'operazione di 25 minuti iniziata intorno alle 21:56 ET, l'attaccante ha prosciugato circa 594 BTC (~38 milioni di dollari) da circa 500 wallet, colpendo prima i saldi più grandi . L'analisi di Chainalysis ha rilevato che 30 milioni di dollari sono stati rubati nei primi 10 minuti.
31 luglio – 4 agosto — Seconda e terza ondata: Ondate successive hanno portato le perdite a 1.596 BTC (~100 milioni di dollari+) su circa 7.300 indirizzi .
Sospetta quarta ondata: Galaxy Research ha segnalato una possibile quarta ondata che, se confermata, porterebbe il totale a 2.055 BTC (~130 milioni di dollari) .
All'inizio di agosto, TRM Labs ha classificato l'incidente Coldcard come il terzo più grande hack crypto del 2026 . Galaxy Research ha identificato almeno 15 attaccanti indipendenti ora in competizione per sfruttare i wallet vulnerabili non ancora migrati .
Movimento di fondi del 7 agosto: 30,185 BTC (1,94 milioni di dollari)
Il 7 agosto 2026, un wallet collegato all'hacker Coldcard ha trasferito 30,185 BTC (~1,94 milioni di dollari) a un indirizzo appena creato, secondo il tracker on-chain Lookonchain . È stato il primo movimento di fondi rubati dall'inizio degli attacchi.
Il trasferimento rappresentava circa l'1,5% del bottino totale di 2.055 BTC.
Gli analisti lo hanno interpretato come una potenziale transazione di prova o un passo preliminare verso un incasso più grande .
Il prezzo di Bitcoin ha reagito a malapena, scambiando vicino a 64.152 dollari al momento .
Il 90% dei fondi rubati rimane immobile
Dopo il trasferimento del 7 agosto, circa il 98,5% dei ~2.055 BTC rubati rimane intatto nei wallet dell'hacker . Questo comportamento è tipico di attaccanti sofisticati che aspettano mesi o anni prima di tentare di riciclare grandi somme. Le società di analisi forense blockchain e gli exchange stanno monitorando attentamente gli indirizzi .
La risposta di Coinkite e l'aggiornamento del firmware
Coinkite si è mossa rapidamente dopo aver scoperto la vulnerabilità il 30 luglio:
30 luglio — Ha emesso un avviso di sicurezza urgente rendendo pubblico il bug .
31 luglio — Ha distribuito un firmware di emergenza corretto per ogni modello e ramo di rilascio interessato :
Avvertenza critica: Installare il firmware corretto non ripara una seed phrase già compromessa. Coinkite ha detto a tutti gli utenti interessati di generare una nuova seed phrase sul firmware corretto e spostare immediatamente le loro monete . L'azienda ha anche distrutto l'inventario rimanente prodotto con firmware vulnerabile e bloccato le spedizioni .
Versioni del firmware interessate
Rischio più alto: Firmware Mk3 dalla 4.0.1 alla 4.1.9, seed phrase generate senza almeno 50 lanci di dado indipendenti o una passphrase BIP-39 forte e univoca
Interessati anche: Modelli Mk4, Mk5 e Q precedenti alle versioni corrette del firmware elencate sopra
Non interessati: Seed phrase generate prima della finestra di firmware vulnerabile; seed phrase che utilizzano 50+ lanci di dado; seed phrase protette da una passphrase BIP-39 univoca; dispositivi TAPSIGNER, OPENDIME e SATSCARD (codebase diversi); e configurazioni multisig con almeno una chiave non vulnerabile
Implicazioni per l'autocustodia e la comunità crypto
I wallet hardware non sono infallibili. L'incidente Coldcard ha infranto la convinzione che i wallet offline siano immuni dal furto remoto di seed phrase . Il difetto è rimasto inosservato nel firmware per oltre cinque anni.
Le seed phrase generate su firmware vulnerabile sono permanentemente compromesse. Anche dopo aver installato la correzione, le vecchie seed phrase rimangono indovinabili . Gli utenti devono creare wallet completamente nuovi e migrare i fondi.
Paura diffusa sul mercato. Glassnode ha riferito che circa 210.000 BTC sono stati spostati da wallet di detentori a lungo termine (inattivi per 155+ giorni) nella settimana successiva all'hack — il più grande spostamento di questo tipo dal 2024 — suggerendo una diffusa perdita di fiducia tra i detentori di Bitcoin in autocustodia .
L'audit basato sull'IA accelera. I ricercatori di sicurezza hanno notato che l'attacco è stato probabilmente aiutato da strumenti di IA in grado di scansionare il firmware open-source per debolezze di entropia su larga scala, una capacità ora rapidamente adottata in tutti i progetti di wallet hardware .
"Ho fatto tutto bene" non è più sufficiente. Molte vittime hanno seguito le migliori pratiche di autocustodia e hanno comunque perso tutto, sottolineando che l'integrità del firmware è la nuova frontiera del rischio per i wallet hardware .
crypto.newsColdcard hack: how a build flag drained 116M in bitcoin - Crypto News
L'attaccante non ha avuto bisogno di accesso fisico, email di phishing o malware. Ricostruendo l'output di entropia indebolito, poteva ricostruire le seed phrase di 12 o 24 parole delle vittime da remoto e prosciugare wallet che non erano mai stati connessi a Internet .
Il CEO di Coldcard, Rodolfo Novak, ha confermato il problema il 30 luglio 2026, suggerendo che la vulnerabilità potrebbe essere stata scoperta utilizzando strumenti di IA in grado di scansionare il firmware open-source alla ricerca di debolezze di entropia su larga scala .
Dimensioni e cronologia del furto
L'attacco si è sviluppato in più ondate coordinate:
30 luglio — Prima ondata: In un'operazione di 25 minuti iniziata intorno alle 21:56 ET, l'attaccante ha prosciugato circa 594 BTC (~38 milioni di dollari) da circa 500 wallet, colpendo prima i saldi più grandi . L'analisi di Chainalysis ha rilevato che 30 milioni di dollari sono stati rubati nei primi 10 minuti.
31 luglio – 4 agosto — Seconda e terza ondata: Ondate successive hanno portato le perdite a 1.596 BTC (~100 milioni di dollari+) su circa 7.300 indirizzi .
Sospetta quarta ondata: Galaxy Research ha segnalato una possibile quarta ondata che, se confermata, porterebbe il totale a 2.055 BTC (~130 milioni di dollari) .
All'inizio di agosto, TRM Labs ha classificato l'incidente Coldcard come il terzo più grande hack crypto del 2026 . Galaxy Research ha identificato almeno 15 attaccanti indipendenti ora in competizione per sfruttare i wallet vulnerabili non ancora migrati .
Movimento di fondi del 7 agosto: 30,185 BTC (1,94 milioni di dollari)
Il 7 agosto 2026, un wallet collegato all'hacker Coldcard ha trasferito 30,185 BTC (~1,94 milioni di dollari) a un indirizzo appena creato, secondo il tracker on-chain Lookonchain . È stato il primo movimento di fondi rubati dall'inizio degli attacchi.
Il trasferimento rappresentava circa l'1,5% del bottino totale di 2.055 BTC.
Gli analisti lo hanno interpretato come una potenziale transazione di prova o un passo preliminare verso un incasso più grande .
Il prezzo di Bitcoin ha reagito a malapena, scambiando vicino a 64.152 dollari al momento .
Il 90% dei fondi rubati rimane immobile
Dopo il trasferimento del 7 agosto, circa il 98,5% dei ~2.055 BTC rubati rimane intatto nei wallet dell'hacker . Questo comportamento è tipico di attaccanti sofisticati che aspettano mesi o anni prima di tentare di riciclare grandi somme. Le società di analisi forense blockchain e gli exchange stanno monitorando attentamente gli indirizzi .
La risposta di Coinkite e l'aggiornamento del firmware
Coinkite si è mossa rapidamente dopo aver scoperto la vulnerabilità il 30 luglio:
30 luglio — Ha emesso un avviso di sicurezza urgente rendendo pubblico il bug .
31 luglio — Ha distribuito un firmware di emergenza corretto per ogni modello e ramo di rilascio interessato :
Avvertenza critica: Installare il firmware corretto non ripara una seed phrase già compromessa. Coinkite ha detto a tutti gli utenti interessati di generare una nuova seed phrase sul firmware corretto e spostare immediatamente le loro monete . L'azienda ha anche distrutto l'inventario rimanente prodotto con firmware vulnerabile e bloccato le spedizioni .
Versioni del firmware interessate
Rischio più alto: Firmware Mk3 dalla 4.0.1 alla 4.1.9, seed phrase generate senza almeno 50 lanci di dado indipendenti o una passphrase BIP-39 forte e univoca
Interessati anche: Modelli Mk4, Mk5 e Q precedenti alle versioni corrette del firmware elencate sopra
Non interessati: Seed phrase generate prima della finestra di firmware vulnerabile; seed phrase che utilizzano 50+ lanci di dado; seed phrase protette da una passphrase BIP-39 univoca; dispositivi TAPSIGNER, OPENDIME e SATSCARD (codebase diversi); e configurazioni multisig con almeno una chiave non vulnerabile
Implicazioni per l'autocustodia e la comunità crypto
I wallet hardware non sono infallibili. L'incidente Coldcard ha infranto la convinzione che i wallet offline siano immuni dal furto remoto di seed phrase . Il difetto è rimasto inosservato nel firmware per oltre cinque anni.
Le seed phrase generate su firmware vulnerabile sono permanentemente compromesse. Anche dopo aver installato la correzione, le vecchie seed phrase rimangono indovinabili . Gli utenti devono creare wallet completamente nuovi e migrare i fondi.
Paura diffusa sul mercato. Glassnode ha riferito che circa 210.000 BTC sono stati spostati da wallet di detentori a lungo termine (inattivi per 155+ giorni) nella settimana successiva all'hack — il più grande spostamento di questo tipo dal 2024 — suggerendo una diffusa perdita di fiducia tra i detentori di Bitcoin in autocustodia .
L'audit basato sull'IA accelera. I ricercatori di sicurezza hanno notato che l'attacco è stato probabilmente aiutato da strumenti di IA in grado di scansionare il firmware open-source per debolezze di entropia su larga scala, una capacità ora rapidamente adottata in tutti i progetti di wallet hardware .
"Ho fatto tutto bene" non è più sufficiente. Molte vittime hanno seguito le migliori pratiche di autocustodia e hanno comunque perso tutto, sottolineando che l'integrità del firmware è la nuova frontiera del rischio per i wallet hardware .
crypto.newsColdcard hack: how a build flag drained 116M in bitcoin - Crypto News
