Coinkite ha invitato gli utenti di Coldcard Mk3 a spostare i propri fondi dopo che 594,5 Bitcoin (BTC) sono stati prelevati da 500 indirizzi, con forti indizi di una generazione debole dei seed.
Punti chiave:
- Ogni versione firmware Mk3 rilasciata a partire dalla 4.0.1 potrebbe aver generato seed vulnerabili.
- Gli utenti di Mk4, Mk5 e Q con firmware datato devono aggiornare i dispositivi, creare nuovi seed e migrare i fondi.
- Tra le vittime segnalate non risultano wallet multisig né Taproot.
Rischio sui seed Coldcard
Coinkite ha spiegato in un avviso di sicurezza che tutte le versioni firmware Mk3 successive alla 4.0.1, rilasciata nel marzo 2021, sono interessate da un problema di entropia legato ai seed generati dal dispositivo. Anche i seed creati su Mk4 e Mk5 prima della versione 5.6.0, o su Q prima della 1.5.0Q, presentano un rischio elevato.
Secondo la società, i seed compromessi offrivano circa 72 bit di entropia invece dei 128 bit attesi, con un impatto che varia a seconda del modello. TAPSIGNER, OPENDIME e SATSCARD non sono interessati perché basati su codebase differenti. Un semplice aggiornamento firmware non è in grado di “riparare” un seed già esistente.
Gli utenti devono prima installare il firmware corretto e solo dopo generare un nuovo seed, effettuarne il backup, verificare un indirizzo di ricezione direttamente sul dispositivo e inviare una piccola transazione di prova.
I proprietari di Mk3 che non dispongono di un secondo dispositivo possono, in via temporanea, proteggersi con una passphrase BIP-39 robusta e univoca; Coinkite raccomanda comunque di migrare il prima possibile verso un seed di nuova generazione.
Da leggere anche: Gli ETF su Bitcoin assorbono 233,1 milioni di dollari grazie a un singolo fondo
L’impatto del furto di Bitcoin
Atlas21 ha segnalato che un’operazione automatizzata ha svuotato 500 indirizzi single‑signature nei blocchi da 960188 a 960191 il 30 luglio. Le transazioni hanno consumato 1.324 UTXO e trasferito 594,5 BTC, pari a circa 38 milioni di dollari, con un costo complessivo in commissioni di circa 0,044 BTC. Non sono stati individuati indirizzi multisig o Taproot.
La vittima “mediana” ha perso 0,41 BTC, mentre 110 indirizzi hanno subito perdite superiori a un Bitcoin e il caso più grave ha toccato i 29,9 BTC. Atlas21 ha precisato che il pattern delle transazioni punta a chiavi private deboli, generate al momento della creazione dei wallet. La prima segnalazione pubblica è arrivata da un utente il cui seed di 24 parole era stato generato su un Coldcard nel 2021 e non era mai stato inserito su un computer.
L’episodio è rilevante perché la semplice custodia offline non è sufficiente a proteggere i fondi se il seed alla base non ha un livello di casualità adeguato. L’allerta di Coinkite copre wallet creati nell’arco di oltre cinque anni, lasciando gli utenti esposti finché non completano la migrazione, mentre il prezzo di Bitcoin è rimasto intorno ai 64.000 dollari dopo il maxi‑prelievo.
Prossimo articolo: I trader di Polymarket danno a Spider-Man il 91% di probabilità per un debutto storico