Ledger e Trezor hanno ribadito agli utenti che i loro fondi sono al sicuro dopo che un bug nel firmware dei wallet rivali Coldcard ha consentito il furto di 70 milioni di dollari in Bitcoin (BTC) in appena 41 minuti.
Punti chiave:
- Ledger, Trezor, Bitkey, Jade e Tangem hanno chiarito che il bug nel firmware Coldcard non riguarda i loro dispositivi.
- Gli attaccanti hanno svuotato 1.082,65 BTC da 1.196 indirizzi il 30 luglio, quasi il doppio rispetto alla stima iniziale.
- Il sentiment sociale su Bitcoin è sceso ai minimi storici e gli ETF spot hanno registrato deflussi per 265,4 milioni di dollari il 31 luglio.
Ledger e Trezor prendono le distanze dal caso Coldcard
Ledger ha precisato di non essere interessata dall’avviso relativo a Coldcard Mk3, richiamando il generatore di numeri casuali certificato integrato nel proprio secure element.
Trezor ha spiegato ai clienti venerdì che il problema risiede nel firmware personalizzato sviluppato da Coinkite, codice che Trezor non utilizza. Anche Bitkey, Jade e Tangem si sono mosse rapidamente per rassicurare la propria base utenti nell’arco di poche ore.
Trezor ha però aggiunto un’importante avvertenza: chiunque abbia generato una seed su una Coldcard vulnerabile e l’abbia poi importata su un altro dispositivo rimane esposto. La debolezza nella generazione casuale, infatti, “viaggia” con la seed stessa.
Da leggere anche: Infrastrutture AI, la disperata svolta da 1 miliardo di dollari di un payday lender per dominare i data center
Bitcoin, sentiment ai minimi storici
Galaxy Research ha ricondotto l’operazione di drenaggio a una finestra temporale di 41 minuti alle prime ore del 30 luglio, durante la quale sono stati sottratti 1.082,65 BTC da 1.196 indirizzi, circa il doppio dei 594 BTC inizialmente segnalati. Santiment ha poi registrato un rapporto fra commenti rialzisti e ribassisti di 0,58, la lettura più debole di sempre per Bitcoin nelle sue serie storiche.
Anche i flussi di capitale hanno riflesso il clima negativo.
Gli ETF spot su Bitcoin quotati negli Stati Uniti hanno perso 265,4 milioni di dollari il 31 luglio, interrompendo una striscia di due giorni di afflussi. L’IBIT di BlackRock ha pesato per 122,7 milioni di dollari di deflussi, seguito dal FBTC di Fidelity con 54,8 milioni. Il prezzo di Bitcoin è rimasto intorno ai 63.000 dollari dopo il calo di quasi il 3% registrato venerdì.
Ido Ben-Natan, CEO della società di cybersecurity Blockaid, ha sottolineato come la maggior parte delle perdite cripto del 2026 derivi da chiavi compromesse più che da smart contract difettosi. Joe Burnett di Strive ha osservato che l’episodio potrebbe cambiare in modo duraturo la percezione degli investitori sulla self-custody.
La cronologia del bug nel firmware Coldcard
La vulnerabilità è rimasta inosservata per cinque anni. Gli ingegneri di Block l’hanno ricondotta a un commit di codice del 1° marzo 2021, incluso nel firmware 4.0.0, che di fatto dirottava la generazione delle seed verso un sostituto software.
L’entropia effettiva dei dispositivi Mk3 è così scesa a circa 40 bit, ben al di sotto dei 128 bit richiesti per una seed standard.
Coinkite ha pubblicato il primo avviso ufficiale circa 30 ore dopo l’inizio del drenaggio, inizialmente limitato alle unità Mk3, per poi estenderlo ai modelli Mk4, Mk5 e Q.
L’applicazione della patch, da sola, non basta: le seed già create con firmware vulnerabile restano infatti indovinabili.
Prossimo articolo: Voci su iPhone pieghevole sempre più dettagliate: 2.500 dollari, niente Face ID, niente teleobiettivo