Coldcard sotto pressione dopo l’exploit: torna il dibattito sulla self-custody di Bitcoin

Un errore nel firmware del 2021 ha colpito migliaia di wallet Coldcard e ha portato al furto di quasi 1.600 BTC. Il caso riporta sotto i riflettori gli hardware wallet e il multisig come strumenti di self-custody.

In breve

• Un bug nel firmware degli hardware wallet Coldcard del 2021 ha dato origine a un grave incidente di sicurezza legato alla self-custody di Bitcoin.
• Gli attaccanti hanno sottratto quasi 1.600 BTC, per oltre $100 milioni, da circa 7.300 indirizzi.
• Il settore sta rispondendo con patch, segnalazioni alle autorità e più attenzione a soluzioni di sicurezza su più livelli, come il multisig.

Un vecchio bug nel firmware degli wallet hardware Coldcard ha finito per innescare uno dei più rilevanti incidenti di sicurezza recenti nel mondo della self-custody di Bitcoin. Da giovedì scorso gli attaccanti hanno iniziato a svuotare migliaia di wallet e, secondo Galaxy Research, hanno portato via quasi 1.600 BTC, per un valore superiore a $100 milioni (€86.6 milioni), da circa 7.300 indirizzi.

Come ha funzionato l'attacco

La falla era legata a un aggiornamento firmware di marzo 2021 per il wallet Bitcoin-only di Coinkite. In pratica, questo ha lasciato le private key meno protette di quanto gli utenti si aspettassero. L’operazione è andata avanti in tre ondate e ha colpito soprattutto persone convinte di custodire i propri coin in modo sicuro e sotto il proprio controllo.

Swan Bitcoin, piattaforma statunitense per comprare, custodire e gestire in autonomia Bitcoin, ha reagito subito con misure aggiuntive. L’azienda ha bloccato i prelievi per i clienti esposti, ha inviato avvisi nell’app e ha esteso il supporto per la migrazione anche oltre la propria base utenti. L’amministratore delegato Cory Klippsten ha spiegato che il team ha lasciato tutto il resto per contattare i clienti e, in seguito, ha offerto assistenza anche a chiunque ne avesse bisogno.

La reazione del settore

A una settimana di distanza, quasi il 90 per cento dei coin rubati risulta ancora fermo sulla blockchain. Gli indirizzi confermati dell’attaccante sono stati condivisi con le forze dell’ordine federali americane, mentre Coinkite ha corretto tutte le linee di dispositivi coinvolte. Un team di volontari finanziato da OpenSats ha passato in rassegna più di 150 repository open-source e non ha trovato elementi che facciano pensare a un problema esteso oltre Coldcard.

Coldcard è da tempo noto come hardware wallet Bitcoin-only con funzioni pensate per alzare il livello di sicurezza, come le transazioni air-gapped via microSD e un case trasparente per rendere più visibili eventuali manomissioni fisiche. Proprio per questo l’impatto di questo exploit è ancora più forte: il caso colpisce una categoria di prodotto che basa gran parte della propria credibilità sulla sicurezza locale.

Perché è importante

L’hack ha riaperto il dibattito sulla self-custody, ma secondo Klippsten gli utenti non stanno abbandonando il settore in massa. Piuttosto, stanno guardando con più interesse a soluzioni che riducano il rischio di un singolo punto di errore, per esempio il collaborative multisig. Per gli utenti crypto europei il tema è rilevante perché mostra come, nella pratica, la sicurezza dipenda sempre più da più livelli e non solo da un hardware wallet.

Una parte del mercato aveva già reagito all’exploit con maggiore cautela: alcuni vecchi wallet hanno iniziato a muoversi in massa dopo che la vulnerabilità è diventata pubblica, come in un vecchio wallet Bitcoin che ha spostato $31 milioni.