Una sospetta quarta ondata di attacchi ha spostato quasi 389 Bitcoin (BTC) da 462 indirizzi collegati alla falla nel firmware di Coldcard, ha segnalato lunedì Galaxy Research.
Punti chiave:
- I ricercatori hanno individuato 218 transazioni che hanno spostato circa 388,93 BTC da 462 indirizzi ritenuti vittime.
- Le precedenti ondate confermate avevano già sottratto 1.367,05 BTC da 4.585 indirizzi, per un valore di circa 88,6 milioni di dollari.
- Coldcard ha sospeso le spedizioni, distrutto le scorte vulnerabili e invitato gli utenti a generare nuove seed prima di trasferire i fondi.
Nuovo sweep su wallet Bitcoin Coldcard
Alex Thorn, responsabile ricerca di Galaxy Research, ha individuato 218 transazioni tra i blocchi 960.778 e 960.792 che hanno spostato 388,93 BTC da 462 indirizzi sospettati di appartenere a vittime. L’operatività si è concentrata in circa due ore e mezza. Gli sweep sono saliti in media a 13,8 per blocco, circa 45 volte il ritmo pre-incidente di 0,3, mentre parte dei fondi aveva già raggiunto wallet di “secondo hop”.
«Con tutta probabilità si tratta di vittime Coldcard», ha commentato Thorn, aggiungendo che il pattern delle transazioni gli dava “elevata fiducia” che fosse in corso un’ulteriore ondata coordinata di attacchi. Al momento del suo avvertimento, diffuso lunedì mattina, la quarta ondata sospetta non era ancora stata confermata ufficialmente.
Thorn ha aggiunto che transazioni simili restavano nel mempool di Bitcoin con la funzione replace-by-fee attiva, che consente di sostituire un pagamento non confermato con un altro con commissione più alta. Questa caratteristica può permettere a una vittima di superare l’offerta dell’attaccante prima che i miner confermino una delle due transazioni.
Coldcard ha comunicato domenica di aver sospeso le spedizioni e di aver distrutto le scorte rimanenti che montavano il firmware difettoso. Il software corretto protegge solo le seed generate dopo l’installazione, per cui gli utenti esposti devono creare una nuova seed e spostare i propri fondi. L’azienda ha chiesto alle vittime di conservare i dispositivi interessati mentre il team legale coordina le attività con le forze dell’ordine.
Leggi anche: Astra contro Claude Opus 5: uno scompone il problema, l’altro preserva il contesto
Rischi per i wallet Bitcoin
Onchain Lens stima le perdite confermate delle prime tre ondate in 88,6 milioni di dollari. Un holder canadese avrebbe perso 1,6 milioni di dollari in pochi minuti.
Changpeng Zhao, fondatore di Binance noto come CZ, ha avvertito che anche gli hardware wallet consolidati possono contenere bug e ha suggerito di distribuire le proprie disponibilità su più dispositivi. Ha però riconosciuto che la frammentazione dei fondi introduce a sua volta rischi differenti.
Coldcard ha riferito che produttori di hardware wallet, ricercatori e specialisti di self-custody hanno messo a disposizione risorse mentre l’azienda gestiva l’emergenza.
Il team ha dichiarato di «impegnarsi a collaborare con il resto del settore in futuro», un impegno che potrebbe incidere sulle prassi di test e disclosure dei wallet.
Il primo grande sweep del 30 luglio ha svuotato 1.082,65 BTC da 1.196 indirizzi in 41 minuti, prima che altre due ondate portassero le perdite confermate a 1.367,05 BTC su 4.585 indirizzi. Coldcard ha precisato che Satscard, Opendime e Tapsigner utilizzano codice diverso e non sono stati coinvolti.
Da leggere dopo: Perché Ethereum trattiene solo il 4,9% di ciò che le sue applicazioni generano davvero