Coldcard genera seed deboli, sospetti furti Bitcoin per 88,6 milioni

🛡️ Executive Summary

• Un errore nel firmware Coldcard ha generato seed BIP-39 con entropia inferiore ai 128 bit previsti.
• Galaxy Research collega alla falla movimenti sospetti per 1.367,05 BTC, senza una conferma crittografica definitiva per tutti gli indirizzi.
• Gli utenti devono aggiornare il firmware, creare un nuovo seed e trasferire i fondi senza riutilizzare quello vulnerabile.

Una vulnerabilità nella generazione casuale dei seed dei wallet hardware Coldcard è stata collegata a una serie di transazioni sospette che avrebbe spostato 1.367,05 Bitcoin, pari a circa 88,6 milioni di dollari al momento delle operazioni. Il problema, introdotto nel firmware nel 2021, ha ridotto drasticamente l’entropia utilizzata per creare alcune frasi di recupero BIP-39, rendendo teoricamente possibile ricostruire le chiavi private attraverso calcoli offline. Coinkite ha pubblicato aggiornamenti urgenti per tutti i modelli coinvolti, ma la sola installazione della patch non protegge i seed già generati. Nel Regno Unito, intanto, una violazione separata ha esposto sul dark web dati professionali appartenenti a personale di polizia e giustizia registrato sulla piattaforma PNLD.

Coldcard ha generato seed con entropia insufficiente

Il problema di Coldcard, wallet hardware dedicato esclusivamente a Bitcoin e prodotto dalla canadese Coinkite, deriva da un errore di integrazione introdotto nel marzo 2021. Il firmware avrebbe dovuto utilizzare il generatore casuale hardware del microcontrollore STM32, ma una configurazione errata ha indirizzato la creazione dei seed verso Yasmarang, il generatore pseudocasuale di fallback incluso in MicroPython. La libreria verificava infatti soltanto l’esistenza della macro MICROPY_HW_ENABLE_RNG, senza controllare che il suo valore fosse effettivamente abilitato. Poiché la configurazione di produzione di Coldcard definiva la macro a zero, il dispositivo ricadeva comunque sul percorso software. Il generatore veniva inizializzato attraverso elementi parzialmente prevedibili, tra cui l’identificativo univoco del chip, lo stato dei timer e la cronologia delle precedenti chiamate al generatore, senza acquisire successivamente nuova entropia hardware. Secondo la ricostruzione tecnica pubblicata da Block, un attaccante capace di determinare o restringere sufficientemente questi parametri potrebbe riprodurre offline possibili sequenze casuali, derivare i relativi indirizzi Bitcoin e confrontarli con le informazioni pubbliche registrate sulla blockchain. Non sarebbe quindi necessario impossessarsi fisicamente del dispositivo: il punto debole riguarda il momento originario in cui il wallet ha creato la frase di recupero. La vulnerabilità si distingue dagli attacchi hardware che richiedono accesso diretto al dispositivo, come quello che aveva interessato le card Tangem vulnerabili a un attacco laser, perché in questo caso l’eventuale compromissione può avvenire attraverso la ricostruzione matematica del seed.

Le transazioni sospette raggiungono 88,6 milioni di dollari

La prima ondata individuata il 30 luglio 2026 ha svuotato 1.196 indirizzi Bitcoin in 41 minuti, trasferendo complessivamente 1.082,65 BTC, valutati circa 70,2 milioni di dollari. Le operazioni presentavano caratteristiche comuni, tra cui commissioni pari a 30 sat/vB e transazioni prive di resto, elementi utilizzati da Galaxy Research per raggruppare gli indirizzi coinvolti. Due ulteriori ondate hanno successivamente portato la stima a 1.367,05 BTC distribuiti su 4.585 indirizzi, per un valore di circa 88,6 milioni di dollari. L’attribuzione alla vulnerabilità Coldcard resta tuttavia probabilistica.

Galaxy Research ha ricostruito le operazioni attraverso l’analisi on-chain, ma non ha dimostrato crittograficamente che tutti gli indirizzi individuati fossero stati generati attraverso il generatore debole. Anche una normale migrazione dei fondi da parte del proprietario produce infatti transazioni simili a uno svuotamento ostile. Le prime due ondate potrebbero essere riconducibili allo stesso operatore per la somiglianza dei pattern, mentre la terza non può essere attribuita automaticamente al medesimo soggetto. Non è stato inoltre reso pubblico un caso nel quale un ricercatore abbia ricostruito integralmente il seed di una vittima e lo abbia collegato a uno degli indirizzi svuotati. La prudenza non riduce la gravità tecnica della falla, ma impedisce di presentare come definitivamente provato il furto dell’intera somma osservata. Il caso arriva poche settimane dopo Ill Bloom, la campagna collegata a generatori pseudocasuali deboli nei wallet software, confermando quanto la qualità dell’entropia rappresenti un requisito fondamentale per la sicurezza delle criptovalute.

Aggiornare il firmware non protegge i vecchi seed

Coinkite ha distribuito il 31 luglio 2026 gli aggiornamenti urgenti 5.6.0 per Coldcard Mk4 e Mk5, 1.5.0Q per Coldcard Q e 4.2.0 per il modello Mk3. Sono interessati i seed generati sui Mk3 con firmware dalla versione 4.0.1 alla 4.1.9, sui Mk4 e Mk5 con versioni precedenti alla 5.6.0, sui Coldcard Q precedenti alla 1.5.0Q e sulle build Edge anteriori a 6.6.0X e 6.6.0QX. Block include nel percorso vulnerabile anche Mk2 e Mk3 dalla versione 4.0.0, mentre la documentazione pubblica di Coinkite non elenca con precisione le release Mk2 coinvolte. Nella pagina ufficiale dedicata al firmware Coldcard, il produttore stima un’entropia effettiva di circa 40 bit sui Mk3 e potenzialmente di circa 72 bit su Mk4, Mk5 e Q, valori inferiori ai 128 bit attesi da un seed BIP-39 di dodici parole. La patch impedisce la generazione di nuovi seed deboli, ma non modifica quelli già creati. Ripristinare la vecchia frase su un dispositivo aggiornato o importarla in un altro wallet conserva esattamente la stessa vulnerabilità. Gli utenti esposti devono quindi installare il nuovo firmware, generare un seed completamente nuovo e trasferire i Bitcoin verso indirizzi derivati dalla nuova frase. La procedura deve essere eseguita senza cancellare il vecchio wallet prima di avere verificato la ricezione dei fondi. Coinkite considera non vulnerabili alla sola falla i seed costruiti aggiungendo almeno 50 lanci di dado indipendenti, equi e mantenuti privati, ma raccomanda comunque la migrazione quando non sia possibile dimostrare con certezza come la frase sia stata generata. Una passphrase BIP-39 forte e unica riduce ulteriormente l’esposizione, ma non sostituisce la creazione di un nuovo seed.

Multisig e dispositivi separati limitano il rischio

La configurazione multisig protegge i fondi soltanto quando la soglia necessaria per autorizzare una transazione non dipende interamente da dispositivi Coldcard affetti dal medesimo errore. Un wallet due-su-tre costruito con tre dispositivi vulnerabili potrebbe infatti avere più seed esposti alla stessa debolezza, riducendo il vantaggio della separazione delle chiavi. Una configurazione che combina prodotti differenti, implementazioni indipendenti e seed generati con fonti di entropia separate offre invece una protezione più solida contro gli errori sistemici di un singolo produttore. TAPSIGNER, OPENDIME e SATSCARD non risultano interessati perché utilizzano basi di codice differenti. L’incidente dimostra inoltre che un hardware wallet non può essere valutato soltanto sulla capacità di mantenere offline le chiavi. La sicurezza dipende anche dal processo che crea quelle chiavi, dalla correttezza delle librerie integrate, dalla configurazione usata nelle build di produzione e dalla possibilità di verificare che il generatore hardware sia realmente attivo. Un dispositivo air-gapped può proteggere perfettamente un segreto già compromesso dalla scarsa casualità con cui è stato generato. Per questo le organizzazioni che custodiscono quantità elevate di criptovalute dovrebbero affiancare alla separazione fisica controlli sulla provenienza del firmware, test indipendenti, configurazioni multisig eterogenee e procedure documentate per la generazione dei seed. La crescente attenzione verso malware, estensioni malevole e attacchi alle chiavi private, già emersa con le campagne che sostituiscono gli indirizzi dei wallet nel browser, non deve oscurare i rischi introdotti direttamente nella fase iniziale di creazione delle credenziali crittografiche.

Il breach PNLD espone personale di polizia e giustizia

Un secondo incidente ha coinvolto la Police National Legal Database, servizio che fornisce informazioni e risorse giuridiche alle 43 forze di polizia dell’Home Office in Inghilterra e Galles, oltre ad altre organizzazioni del sistema giudiziario britannico. Il PNLD ha rilevato la violazione il 26 luglio 2026 e ha confermato che nomi, organizzazioni e indirizzi email professionali appartenenti a agenti, dipendenti di polizia, professionisti della giustizia e partner governativi sono stati compromessi e pubblicati sul dark web. Sono stati esposti anche alcuni nomi e indirizzi email di cittadini che avevano inviato domande attraverso il servizio Ask the Police. Nell’avviso ufficiale pubblicato dal PNLD, l’organizzazione precisa che non vi sono prove del furto di password o altre credenziali e che la piattaforma non coincide con il Police National Computer o con il Police National Database. Non contiene quindi fascicoli criminali né informazioni riservate relative a vittime, testimoni o persone indagate. Il numero esatto delle persone coinvolte non è stato comunicato: le 108.429 registrazioni di personale di polizia indicate nel rapporto annuale 2025-2026 descrivono la base complessiva degli utenti e non possono essere utilizzate come conteggio delle vittime. I dati pubblicati restano però sufficienti per costruire campagne di spear phishing più credibili, impersonare personale istituzionale e selezionare bersagli in base all’organizzazione di appartenenza. Come mostra la guida al valore operativo dei dati sottratti nei data breach, anche informazioni prive di password possono diventare strumenti efficaci per l’ingegneria sociale quando consentono di contestualizzare identità, ruoli e relazioni professionali.

L’ipotesi Power Pages non è ancora una causa confermata

Il gruppo ExfilSquad ha rivendicato la violazione sul proprio leak site, ma il PNLD non gli ha attribuito ufficialmente l’incidente. Analisi condotte su campioni associati a più vittime del gruppo hanno individuato strutture compatibili con Microsoft Dataverse, alimentando l’ipotesi di portali Power Pages configurati con autorizzazioni eccessivamente ampie per gli utenti anonimi. In questo scenario, un sito pubblico collegato a Dataverse avrebbe consentito la lettura di tabelle attraverso la Web API o interfacce OData legacy, senza richiedere autenticazione. La piattaforma PNLD utilizza tecnologie Microsoft Power Platform e la pagina dell’avviso richiama risorse ospitate sul dominio content.powerapps.com, ma questi elementi dimostrano soltanto l’impiego della tecnologia, non il vettore dell’intrusione. Non sono stati pubblicati endpoint PNLD vulnerabili, registri di accesso, impostazioni delle autorizzazioni o percorsi API capaci di confermare la ricostruzione. L’ipotesi Power Pages deve quindi essere trattata come un modello plausibile da verificare, non come la causa accertata del breach. La stessa documentazione Microsoft sulle autorizzazioni delle tabelle in Power Pages chiarisce che l’assegnazione del ruolo Anonymous Users può rendere visibili dati Dataverse ai visitatori non autenticati, mentre appositi controlli a livello di tenant consentono di bloccare la lettura anonima mantenendo attivi i moduli pubblici. Gli amministratori dovrebbero verificare permessi delle tabelle, Web API, feed OData legacy e accessibilità delle risorse attraverso una sessione priva di autenticazione. Il PNLD ha notificato l’incidente all’Information Commissioner’s Office, informato le organizzazioni coinvolte e avviato la collaborazione con la National Crime Agency e specialisti di sicurezza. Restano sconosciuti la durata dell’accesso, il volume completo dei dati sottratti e il percorso effettivamente utilizzato dagli attaccanti.