Furto da 70 milioni di dollari con exploit Coldcard: un bug di entropia ha svuotato 1.196 wallet in 41 minuti

Un'ondata precedente dello stesso exploit ha spazzato via 594 BTC (~38 milioni di dollari) da circa 500 wallet a firma singola in un'esplosione di 25 minuti intorno alle 01:31 UTC . Galaxy Research, Chainalysis e il team di ingegneria di Block hanno tutti collegato indipendentemente i furti alla stessa vulnerabilità Coldcard .

Come l'attaccante ha usato un servizio di analisi blockchain

Il team di ingegneria e sicurezza Bitcoin di Block, guidato dall'ingegnere Clay Garrett, ha identificato che l'attaccante ha utilizzato un account a pagamento presso un noto fornitore di servizi blockchain per identificare e interrogare in modo efficiente gli indirizzi vulnerabili . Il pattern on-chain dell'attaccante — operazioni di prelievo insolitamente rapide e sequenziali su indirizzi con la stessa debolezza — ha insospettito gli investigatori. Block ha confermato prove che collegano l'attività dell'operatore direttamente all'infrastruttura di quel fornitore .

L'indagine di Block ha scoperto quella che Garrett ha descritto come "una specificità straordinaria, fino al livello dell'account" . Il servizio di analisi ha funzionato di fatto come uno strumento di ricognizione, permettendo all'attaccante di mappare rapidamente quali indirizzi fossero stati generati su firmware vulnerabili e di dare priorità ai target più ricchi .

Causa principale: un singolo errore del preprocessore

Il bug è stato introdotto in un commit del firmware di marzo 2021 (a partire dalla versione 4.0.1 del firmware Mk3) durante una migrazione alla libreria libsecp256k1 di Bitcoin Core . Un errore macro nella configurazione di build ha fatto sì che il firmware bypassasse il generatore hardware di numeri casuali (TRNG) STM32 dedicato del dispositivo, ricadendo invece sul generatore software deterministico Yasmarang di MicroPython .

La configurazione della scheda di produzione impostava MICROPY_HW_ENABLE_RNG a zero perché Coldcard aveva un wrapper separato per l'RNG hardware. Ma la libreria libngu non riusciva a chiamare correttamente quel wrapper: la sua condizione di guardia (#ifndef MICROPY_HW_ENABLE_RNG) testava solo se la macro fosse definita, non se il suo valore fosse diverso da zero . Poiché la macro era definita (impostata a zero), libngu concludeva silenziosamente che il percorso hardware fosse disponibile e si legava alla funzione software rng_get() di MicroPython .

Questo ha ridotto l'entropia effettiva a circa 32-40 bit (invece dei 128+ bit previsti), il che significa solo circa 4 miliardi di possibili valori di seed — banalmente forzabili con hardware moderno . I seed generati senza lanci di dadi aggiuntivi da parte dell'utente o una passphrase BIP 39 erano completamente esposti .

Il CEO di Coinkite, Rodolfo Novak (NVK), ha poi riconosciuto l'errore: "Ho impostato esplicitamente MICROPY_HW_ENABLE_RNG a zero, pensando che non avessimo bisogno di nessuna delle due versioni, ma non è quello che fa" .

Dispositivi e firmware interessati

Coinkite ha poi esteso il suo avviso ad alcune versioni firmware di Mk4, Mk5 e Q dopo ulteriori analisi, rilasciando aggiornamenti firmware di emergenza per tutti i modelli interessati .

Implicazioni per gli utenti interessati

• I fondi sono irrecuperabili. I bitcoin rubati sono stati consolidati e probabilmente vengono riciclati attraverso i soliti servizi di mixing .
• Anche dopo aver applicato la patch al firmware, i vecchi seed rimangono compromessi. Gli utenti devono generare un seed completamente nuovo su firmware corretto e trasferire tutti i fondi a nuovi indirizzi .
• Gli utenti che hanno generato seed su Mk3 tra marzo 2021 e luglio 2026 devono considerare quei seed come compromessi, anche se non hanno ancora perso fondi — i loro wallet rimangono esposti allo stesso attacco .
• Passphrase aggiuntive o lanci di dadi da parte dell'utente hanno mitigato il bug e protetto alcuni utenti anche su firmware vulnerabili .

Implicazioni per il dibattito sul self-custody

Questo exploit ha scosso una delle promesse fondamentali del self-custody — che l'elemento sicuro di un hardware wallet garantisca la sicurezza crittografica indipendentemente dai bug software .

• La cold storage non è infallibile. Il fondatore di Binance, Changpeng Zhao (CZ), ha avvertito pubblicamente che anche i wallet hardware air-gapped possono essere resi insicuri da difetti del firmware .
• Il dibattito ora si sta spostando verso il se il self-custody valga il rischio operativo per gli investitori medi. Alcuni analisti prevedono un ritorno verso i custodi regolamentati e gli ETF Bitcoin .
• Il bug è rimasto inosservato nel codice open-source per oltre cinque anni, dimostrando che la sola trasparenza open-source non garantisce la sicurezza. Alcuni ricercatori ora sostengono che sia necessaria una verifica automatizzata tramite IA — invece della sola revisione del codice umana — per individuare sottili errori di integrazione RNG prima che vengano sfruttati .
• L'incidente evidenzia anche un singolo punto di fallimento: se un produttore di hardware commette un errore di entropia, ogni wallet generato su quel firmware è simultaneamente vulnerabile — un rischio sistemico che le soluzioni di custodia mitigano parzialmente attraverso la suddivisione delle chiavi e il calcolo multipartitico.

Per un'analisi tecnica dettagliata, consulta il rapporto di engineering di Block e il documento tecnico di Coinkite .