Coldcard rilascia un firmware dopo il furto di bitcoin da 114 milioni di dollari

L’aggiornamento dovrebbe correggere una vulnerabilità nota e aggiungere controlli extra durante la firma delle transazioni. Coinkite consiglia agli utenti dei modelli Mk4, Mk5 e Q di installare il firmware più recente.

In breve

• Coldcard ha rilasciato un nuovo firmware dopo che un errore dell’hardware wallet ha contribuito a un furto di bitcoin da 114 milioni di dollari.
• L’aggiornamento sostituisce il generatore di numeri casuali, aggiunge controlli extra sulle transazioni e blocca di default alcune modalità di firma.
• Coinkite chiede agli utenti dei modelli Mk4, Mk5 e Q di installare le versioni più recenti tramite i canali ufficiali.

Coldcard ha rilasciato un nuovo firmware dopo che un errore nell’hardware wallet aveva contribuito a un furto di bitcoin da $114 milioni (€97,6 milioni). Coinkite dice che l’aggiornamento non solo affronta la vulnerabilità nota, ma aggiunge anche controlli extra per limitare gli errori durante la firma delle transazioni.

Cosa è stato modificato

La modifica principale riguarda il modo in cui Coldcard genera dati casuali per una seed. Dove prima il dispositivo usava un generatore di numeri casuali di backup basato su Yasmarang, ora è stato sostituito da una variante che gira su SHA-256, la stessa funzione hash usata anche in Bitcoin. Secondo Coinkite, il dispositivo ora ricontrolla una transazione subito prima della firma, così un computer compromesso collegato alla porta usb non può più modificare un pagamento dopo che il proprietario lo ha già approvato sullo schermo.

Sono state inoltre bloccate di default le modalità di firma che lasciano aperte parti di una transazione dopo la firma. Coinkite chiede ai possessori dei modelli Mk4 e Mk5 di installare la versione 5.6.1 e agli utenti del più recente modello Q di scaricare la 1.5.1Q tramite i canali ufficiali. L’azienda ha anche aperto una pagina di stato pubblica con informazioni su quali release sono state corrette e quali passaggi di migrazione servono.

L’AI ha un ruolo più grande

Coldcard è ormai la quinta azienda bitcoin o crypto in tre settimane a dire che l’AI sta avendo un ruolo più grande nel lavoro di sicurezza. Questo si inserisce in un cambiamento più ampio nel settore, dove sempre più realtà usano l’AI per trovare più velocemente errori nel codice e nel firmware.

Questa evoluzione è ancora più importante per gli hardware wallet, perché la self-custody resta sicura solo se il software e il generatore di numeri casuali sono davvero affidabili. Il caso Coldcard mostra che un errore in un componente relativamente piccolo può avere conseguenze grandi per gli utenti che vogliono tenere le proprie crypto lontano da una parte centrale. Anche altri incidenti di sicurezza legati ai wallet mostrano quanto sia ampio questo rischio; in un precedente errore sui numeri casuali in più wallet, le seed phrase deboli sono state sfruttate subito.

Perché conta per gli utenti

Per gli utenti crypto europei questo è soprattutto rilevante perché gli hardware wallet sono spesso visti come lo standard per la custodia autonoma. Il caso mostra che anche un noto nome del settore crypto con una forte reputazione non è immune da errori nel firmware. Coinkite dice che le forze dell’ordine stanno ancora indagando sul furto e che l’azienda resta disponibile a collaborare.