Coldcard avverte di un exploit ancora attivo sui wallet Bitcoin

Coldcard segnala che un bug nel firmware di alcuni wallet Mk3, Mk4, Mk5 e Q viene ancora sfruttato. Gli utenti sono invitati a rigenerare la seed e trasferire i Bitcoin.

In breve

• Coldcard invita gli utenti a spostare subito i loro Bitcoin, perché un exploit ancora attivo continua a drenare fondi dai wallet in self-custody.
• Secondo i dati aggiornati, sono stati sottratti circa 449 BTC da 709 indirizzi, portando il danno complessivo fino a $114 milioni.
• Il rischio riguarda soprattutto alcuni modelli Coldcard e specifiche versioni del firmware; i wallet creati con l’opzione dice, secondo Coldcard, non sarebbero coinvolti.

Gli sviluppatori del wallet Coldcard hanno chiesto martedì agli utenti di spostare subito i propri Bitcoin, dopo aver confermato che l’exploit già responsabile di milioni di dollari sottratti dai wallet in self-custody è ancora in circolazione. Per l’azienda non si tratta di un rischio astratto: l’attacco è tuttora attivo e, secondo quanto spiegato, è importante avvisare rapidamente soprattutto chi segue meno da vicino gli aggiornamenti di sicurezza.

Minaccia attiva per gli utenti

Coldcard ha scritto che gli utenti devono trasferire i fondi, aggiornare il dispositivo, creare una nuova seed e poi spostare con attenzione le proprie coin. L’avviso riguarda in particolare i wallet per cui la correzione va eseguita manualmente, quindi alcuni possessori potrebbero non accorgersi subito del messaggio.

Come riportato in precedenza da CoinDesk, l’exploit sarebbe tornato attivo lunedì. In quell’occasione sarebbero stati sottratti circa 449 BTC da 709 indirizzi, sulla base di un conteggio rivisto di Galaxy Research, facendo salire il danno totale da circa $89 milioni (€77.2 milioni) fino a un massimo di $114 milioni (€98.8 milioni).

Quali wallet sono a rischio

La vulnerabilità è collegata a un firmware in circolazione dal 2021 in alcune configurazioni, soprattutto quando una sola chiave controlla i fondi senza una seconda approvazione. Non tutti gli utenti sono esposti: il problema riguarda solo modelli e versioni del firmware ben precisi.

Chi usa il Mk3, modello del 2019, deve spostare i fondi se il wallet è impostato su firmware 4.0.1 o successivo. Gli utenti di Mk4, Mk5 e Q, invece, devono aggiornare, creare un nuovo wallet e poi trasferire le coin se stanno utilizzando firmware inferiori a 5.6.0 o 1.5.0Q.

Coldcard afferma che i wallet creati con l’opzione dice non sarebbero a rischio. In questo caso l’utente lancia i dadi almeno 50 volte e inserisce manualmente il risultato; il wallet poi costruisce la chiave partendo da quei numeri, invece di generare da solo dati casuali.

Perché la cosa conta anche più in generale

La vicenda ricorda quanto anche i wallet hardware possano restare vulnerabili a errori nel firmware, pur essendo progettati proprio per aumentare la sicurezza della self-custody. Per chi usa crypto in Europa, il punto è chiaro: l’archiviazione offline non azzera i rischi, soprattutto quando a essere debole è la seed o l’implementazione del firmware.

Vincent Bouzon, product security director di Ledger, ha definito l’incidente un problema legato a una singola implementazione e non un giudizio sulla self-custody nel suo complesso. Ha aggiunto che ogni wallet dipende in ultima analisi da un root secret con entropy di alta qualità, e che questa generazione deve essere ben protetta all’interno di secure hardware. Bitcoin ha scambiato martedì nelle prime ore americane intorno a $63,800 (€55,300), quasi invariato dopo l’avviso. Una recente analisi di private keys mostra che episodi di questo tipo fanno parte di un cambiamento più ampio: gli attaccanti puntano sempre più spesso sulla gestione delle chiavi invece che sugli smart contract.