Un audit di sicurezza condotto con l’intelligenza artificiale ha passato al setaccio 390 progetti dell’ecosistema Bitcoin e ha prodotto quasi cinquemila segnalazioni in poco più di ventisette ore. Ottantacinque di queste sono state classificate come critiche. Uno degli sviluppatori coinvolti l’ha riassunta così: stiamo trovando un bug critico all’ora. L’iniziativa nasce dopo il caso che ha svuotato migliaia di portafogli hardware, e la sua conclusione è scomoda: il problema non era un singolo prodotto difettoso.
L’audit di sicurezza che ha cambiato la prospettiva
Il metodo è quello che oggi si chiama revisione assistita: modelli linguistici specializzati leggono il codice sorgente pubblico, cercano schemi noti di vulnerabilità e producono segnalazioni che vengono poi verificate da persone. Sulle quasi cinquemila segnalazioni grezze, la selezione umana ha confermato ottantacinque problemi gravi, cioè difetti che in determinate condizioni permettono di compromettere fondi o identità.
La novità non è che il software abbia difetti: li ha sempre avuti. La novità è la velocità. Una revisione manuale della stessa ampiezza avrebbe richiesto mesi di lavoro di più squadre. Questo cambia l’equilibrio fra chi difende e chi attacca, e lo cambia in entrambe le direzioni: gli stessi strumenti sono disponibili a chiunque.
Il difetto all’origine: la casualità che non era casuale
Il caso che ha innescato tutto merita di essere spiegato bene, perché è il più istruttivo degli ultimi anni. Un portafoglio hardware genera la frase di recupero a partire da un numero casuale: se quel numero è davvero imprevedibile, ricostruire la frase è impossibile anche disponendo di tutta la potenza di calcolo del mondo. Se invece la sorgente di casualità è difettosa, lo spazio delle possibilità si riduce da un numero astronomico a qualcosa che una macchina può esplorare.
È esattamente ciò che è accaduto: un difetto nel firmware, presente da circa cinque anni, faceva sì che la generazione delle chiavi non usasse tutta l’entropia disponibile. Chi ha scoperto il problema ha potuto ricalcolare le frasi di recupero e prosciugare i portafogli in sequenza — in un singolo episodio, decine di milioni di dollari in poco più di quaranta minuti. Ne avevamo raccontato le prime ondate quando il bilancio è salito e il capitale è migrato verso i prodotti regolamentati.
Perché riguarda tutti, non solo chi aveva quel dispositivo
La lezione tecnica è generale. La sicurezza dell’autocustodia non poggia sulla segretezza della frase di recupero, ma sulla qualità del processo che l’ha generata. Un utente può conservare le dodici parole in una cassaforte inespugnabile: se il numero da cui derivano era prevedibile, la cassaforte è irrilevante.
È il motivo per cui le ottantacinque falle critiche trovate altrove contano quanto quella già sfruttata: riguardano librerie e componenti usati da decine di progetti diversi, spesso senza che l’utente finale sappia di dipenderne.
Cosa fare, in concreto
Cinque verifiche, in ordine di utilità. Primo: controllare la versione del firmware del proprio dispositivo e confrontarla con gli avvisi pubblicati dal produttore, che in questi casi indica le versioni interessate. Secondo: se il proprio dispositivo rientra fra quelli esposti, non basta aggiornare — va generata una frase di recupero nuova e i fondi vanno trasferiti su di essa, perché la vecchia resta compromessa per sempre.
Terzo: verificare la firma del firmware prima di installarlo, procedura che tutti i produttori documentano e quasi nessuno esegue. Quarto: se possibile, generare l’entropia in modo indipendente — molti dispositivi permettono di aggiungere lanci di dado o parole scelte dall’utente, e questo rende il risultato robusto anche se il generatore interno è debole. Quinto: distribuire i fondi su più dispositivi di produttori diversi, così che un singolo difetto non esponga tutto.
Cosa aspettarsi ora
Nel breve, altre segnalazioni: l’audit è in corso e i risultati vengono pubblicati progressivamente, in coordinamento con gli sviluppatori dei progetti interessati per dare tempo alle correzioni. Nel medio, è probabile che la revisione assistita diventi uno standard di settore, come lo sono gli audit contabili.
Per chi guarda al prezzo e non al codice, la ricaduta è indiretta ma misurabile: ogni episodio di questo tipo sposta capitale dall’autocustodia ai prodotti regolamentati, e quel travaso si legge nei flussi prima che nei grafici. È il tipo di dinamica che l’analisi quantitativa del ciclo tratta come struttura, non come notizia.
Resta una considerazione di fondo, e non è tecnica: la fiducia in un sistema non dipende dall’assenza di difetti, ma dalla velocità con cui vengono trovati e corretti. Da questo punto di vista, una settimana con ottantacinque falle scoperte e pubblicate è una settimana buona, non cattiva.
I contenuti di questo articolo hanno finalità informative e formative e non costituiscono consigli finanziari né sollecitazione all’investimento. Ogni decisione resta sotto la responsabilità del lettore.