Hack Coldcard: come un errore del firmware ha svuotato migliaia di wallet Bitcoin

Secondo le analisi on-chain disponibili, si tratta del più grande exploit noto finora ai danni di wallet hardware. Il punto più inquietante è che non è stato necessario rubare o manomettere fisicamente i dispositivi: in molti casi è bastato ricostruire la seed phrase, cioè la sequenza di 12 o 24 parole da cui vengono derivate le chiavi private.

Il problema: la casualità che non era più casuale

La vulnerabilità risale a un errore di compilazione introdotto in un commit del 1° marzo 2021 e distribuito nel firmware Coldcard Mk3 4.0.1 .

I dispositivi Coldcard utilizzano un TRNG (True Random Number Generator), un generatore hardware progettato per produrre dati realmente casuali e quindi adatti a creare chiavi crittografiche. Il firmware difettoso, però, faceva saltare il TRNG e utilizzava invece un generatore pseudo-casuale software .

La seed phrase veniva così ricavata da elementi prevedibili, come il numero di serie del chip e l’orologio interno del dispositivo . In teoria una seed dovrebbe avere 256 bit di entropia, uno spazio di possibilità talmente ampio da rendere impraticabile qualsiasi tentativo di enumerazione. Il bug ha invece ridotto drasticamente lo spazio effettivo delle combinazioni: le seed non erano più casuali in senso crittografico .

Con una quantità sufficiente di calcolo, un aggressore poteva quindi provare offline le possibili combinazioni, derivare le chiavi private corrispondenti e verificare sulla blockchain quali indirizzi contenessero bitcoin. Non serviva avere il Coldcard tra le mani né installare malware sul computer della vittima .

Come è stato eseguito l'attacco

L'operazione sembra essersi basata su una massiccia enumerazione offline delle seed deboli:

1. generare tutte le combinazioni plausibili per le versioni di firmware interessate;
2. derivare da ciascuna combinazione le relative chiavi private e gli indirizzi Bitcoin;
3. confrontare gli indirizzi con i saldi visibili sulla blockchain;
4. trasferire rapidamente i fondi individuati verso indirizzi controllati dagli attaccanti.

Galaxy Research ha ricostruito i principali flussi di denaro e identificato almeno tre gruppi distinti di indirizzi associati agli aggressori . La velocità e la scala dell'operazione hanno fatto pensare a un'attività fortemente automatizzata.

Diverse ricostruzioni hanno inoltre ipotizzato l'uso dell'intelligenza artificiale per individuare il difetto durante l'analisi del codice. Le fonti non presentano però questa ipotesi come un fatto definitivamente accertato . È invece plausibile che strumenti automatizzati abbiano contribuito all'enumerazione delle seed e alla ricerca dei saldi, rendendo più gestibile un'operazione di questa portata.

Quali dispositivi e utenti erano a rischio

Le informazioni pubblicate non sono perfettamente uniformi su tutti i modelli e le build coinvolte. Il rischio maggiore riguarda comunque:

• Coldcard Mk3 con seed generate dal firmware 4.0.1 fino alla serie 4.1.9; l'avviso più ampio di Coinkite include versioni fino alla 5.0.3 ;
• secondo analisi più estese, anche alcune configurazioni di Mk2 e altre build precedenti dei modelli successivi possono presentare una forma meno grave dello stesso problema .

Erano particolarmente esposti gli utenti che avevano generato una seed standard di 12 o 24 parole senza aggiungere entropia propria tramite lancio di dadi e senza utilizzare una passphrase BIP39 .

Le fonti indicano come non vulnerabili, in questo specifico scenario, gli utenti che:

• avevano generato la seed usando l'entropia aggiuntiva dei dadi;
• avevano aggiunto una passphrase BIP39;
• utilizzavano firmware corretto, a partire dalla versione 4.2.0 nei casi Mk3 indicati dall'advisory;
• usavano dispositivi o configurazioni non incluse nell'intervallo interessato, secondo le rispettive indicazioni del produttore .

La portata dell'attacco è cresciuta in più ondate. Il singolo trasferimento più grande, il 30 luglio, ha svuotato 1.196 indirizzi per un totale di 1.082,65 BTC, circa 70,2 milioni di dollari all'epoca, in appena 41 minuti .

La risposta di Coinkite e il caos tra le vittime

Coinkite ha pubblicato un avviso di sicurezza il 30 luglio 2026, invitando gli utenti dei dispositivi interessati a considerare a rischio i fondi associati a seed generate dal firmware vulnerabile .

La società ha raccomandato di:

• trasferire immediatamente i bitcoin verso un nuovo wallet;
• generare la nuova seed su firmware corretto oppure usando entropia aggiuntiva tramite dadi;
• installare il firmware aggiornato, indicato nelle comunicazioni come 5.0.4 o successivo .

Un punto fondamentale è che l'aggiornamento del firmware non risolve una seed già compromessa. Chi ha utilizzato una versione vulnerabile deve creare un wallet completamente nuovo e spostare i fondi; lasciare il denaro sul vecchio indirizzo significa continuare a usare una chiave che potrebbe essere già stata ricostruita .

Coinkite ha inoltre pubblicato una ricostruzione temporale dell'errore e collaborato con società di analisi blockchain, tra cui Galaxy Research e Block, per seguire i movimenti dei fondi .

Per molti utenti, però, l'avviso è arrivato troppo tardi: numerosi wallet risultavano già vuoti quando la notizia ha iniziato a circolare sui social nel pomeriggio del 30 luglio . Nel frattempo sono comparsi diversi siti che promettevano di verificare se un indirizzo fosse coinvolto nell'attacco; alcuni sono stati segnalati come possibili tentativi di phishing. In un sistema di autocustodia non esiste inoltre un intermediario centrale che possa annullare una transazione Bitcoin o restituire automaticamente i fondi.

Ledger ha dichiarato che i propri dispositivi non erano interessati da questa specifica vulnerabilità. L'azienda ha indicato l'uso di un TRNG certificato integrato nel chip Secure Element, con 256 bit di entropia per ogni frase di recupero . Questa dichiarazione riguarda il bug Coldcard e non costituisce, da sola, una garanzia generale contro ogni possibile rischio di sicurezza.

L'impatto su Bitcoin e sull'autocustodia

L'attacco non ha provocato un crollo significativo del prezzo di bitcoin, anche se ha alimentato il sentiment negativo in una fase già volatile del mercato .

Il danno più immediato è stato reputazionale. Coldcard era considerata da molti utenti una soluzione di riferimento per l'autocustodia Bitcoin ad alta sicurezza. L'incidente ha riaperto una domanda scomoda: quanto protegge davvero un wallet “air-gapped”, cioè isolato dalle reti, se un errore nel firmware può compromettere alla radice la casualità delle chiavi?

Il caso ha inoltre spostato il dibattito sull'intelligenza artificiale. Se strumenti automatizzati possono analizzare rapidamente firmware open source, individuare errori rimasti inosservati per anni e poi accelerare la ricerca di chiavi deboli, il modello di sicurezza dei wallet hardware deve considerare anche questa nuova capacità offensiva .

Tra le pratiche rilanciate dagli esperti figurano:

• configurazioni multifirma;
• seed protette da una passphrase conservata separatamente;
• verifica della fonte di entropia del dispositivo;
• aggiornamento regolare del firmware;
• controllo delle comunicazioni esclusivamente sui canali ufficiali, evitando siti di verifica ricevuti tramite messaggi o social .

Dove sono finiti i bitcoin rubati

Al 7 agosto 2026, la maggior parte dei fondi risultava ancora visibile sulla blockchain e non era stata convertita in denaro attraverso exchange identificati.

Il gruppo principale

Il principale cluster controllato dagli attaccanti deteneva circa 1.159 BTC, pari a circa 72,7 milioni di dollari, distribuiti su sette indirizzi. Al 5 agosto, secondo le ricostruzioni disponibili, nessuna parte di quel saldo risultava inviata a un mixer o incassata tramite un exchange .

I fondi inviati ai mixer

Un secondo gruppo ha iniziato a muovere fondi tra il 4 e il 6 agosto. Circa 64 BTC sono stati instradati verso Wasabi e 200 ETH verso Tornado Cash . I ricercatori hanno suggerito che questo cluster possa appartenere a un operatore più piccolo, entrato in possesso soltanto di una parte dei dati necessari per ricostruire le seed.

Un nuovo movimento da 30 BTC

Il 7 agosto, un aggressore ritenuto in possesso di circa 2.055 BTC ha trasferito 30,185 BTC, per un valore stimato di 1,94 milioni di dollari, verso un nuovo wallet. È stato il primo movimento osservato da settimane per quel cluster .

Nel complesso, al 4 agosto circa il 90% dei quasi 1.600 BTC allora attribuiti al furto non si era mosso dopo il trasferimento iniziale. Non risultavano bitcoin incassati tramite exchange noti e il cluster principale non aveva inviato fondi a mixer . Le analisi successive hanno rilevato i movimenti limitati descritti sopra, senza però cambiare il quadro generale: la maggior parte del bottino resta concentrata in pochi indirizzi tracciabili .

Fondi congelati, ma non recuperati

La trasparenza della blockchain rende difficile per gli attaccanti convertire grandi quantità di bitcoin senza lasciare una traccia. Exchange e società di analisi possono contrassegnare gli indirizzi coinvolti e monitorare ogni passaggio; questo rende i fondi, in senso operativo, quasi congelati in bella vista.

Non significa però che siano stati restituiti alle vittime. Al momento delle ultime informazioni disponibili non era stata resa pubblica alcuna confisca da parte delle autorità né un recupero definitivo dei bitcoin rubati. Il caso Coldcard mostra quindi il doppio volto dell'autocustodia: nessun intermediario può bloccare i fondi al posto dell'utente, ma anche un errore apparentemente invisibile nella generazione delle chiavi può trasformare un wallet offline in un bersaglio accessibile da remoto.