Il bilancio dell’attacco ai wallet hardware Coldcard continua a salire: secondo le ultime ricostruzioni, una vulnerabilità nel firmware avrebbe consentito il furto di 1.778 bitcoin da oltre 5.000 portafogli, per un controvalore stimato intorno ai 112 milioni di dollari. È uno dei casi di sicurezza più gravi dell’anno, e mette in discussione un assunto che molti danno per scontato: che un wallet hardware sia di per sé immune.
La vicenda è iniziata il 30 luglio, quando è emerso un difetto nel firmware dei dispositivi Coldcard. Il problema non stava nell’hardware, ma nel software che lo governa: un errore nella generazione o nella gestione delle chiavi che ha permesso a un attaccante di sottrarre i fondi senza accesso fisico al dispositivo. Da allora il bilancio è cresciuto a ondate, e Galaxy Research avverte che la scala del furto potrebbe aumentare ancora.
Coldcard, un difetto nel firmware
Un wallet hardware è considerato la soluzione più sicura perché le chiavi private restano offline, isolate dal computer. Ma la sicurezza del dispositivo dipende interamente dal firmware: se il software contiene un difetto, il vantaggio dell’isolamento svanisce. È esattamente quello che è successo con Coldcard, dove la falla ha permesso di compromettere i portafogli a distanza, senza che gli utenti se ne accorgessero.
Non risultano nuove attività di attacco dal 6 agosto, segno che la falla è stata individuata e, si presume, corretta. Ma il danno è già fatto: i fondi sottratti sono difficili da recuperare, e la fiducia nel marchio è compromessa. Il caso mostra come anche i prodotti di punta dell’autocustodia possano fallire.
Che cosa fare subito
Per chi possiede un dispositivo Coldcard il primo passo è aggiornare il firmware all’ultima versione e verificare la presenza di transazioni non autorizzate. Il secondo è considerare la rotazione delle chiavi: se un portafoglio è stato generato con una versione compromessa del firmware, il rischio non sparisce con l’aggiornamento. Il terzo è tornare ai fondamentali, quelli raccontati anche nell’analisi della prima ondata dell’attacco.
La lezione generale è più ampia: nessun dispositivo è sicuro per definizione, e la sicurezza dell’autocustodia dipende da firmware, aggiornamenti e verifiche continue. Chi detiene somme rilevanti farebbe bene a diversificare anche la custodia, senza concentrare tutto su un solo modello o un solo fornitore.
Contenuti a fini formativi, non consulenza finanziaria.