La Coldcard wallet hack di Coinkite spiegata

Cos'è una wallet hack di Coldcard?

I cold wallet sono spesso visti come uno dei modi più sicuri per conservare bitcoin. Eppure questa settimana è andata parecchio male per Coldcard, l'hardware wallet di Coinkite. A causa di un vecchio errore nel firmware, alcune frasi di recupero erano meno casuali di quanto si pensasse, permettendo agli hacker di violare da remoto i wallet collegati. In totale si stima che siano stati sottratti 1.816 BTC, per un valore di circa 116 milioni di dollari al momento della scrittura.

In questo caso, una wallet hack di Coldcard riguarda soprattutto una seed di recupero generata in modo debole, non un attaccante che mette semplicemente le mani sulla tua Coldcard fisica (hardware wallet).

Coldcard è un hardware wallet solo per Bitcoin della società crypto Coinkite. Un crypto wallet di questo tipo conserva le tue private key offline e le usa per firmare le transazioni Bitcoin.

Nel caso dell'incidente di sicurezza del 2026, è emerso che alcune versioni del firmware potevano creare una seed con troppo poca casualità. Questa casualità si chiama entropia. In parole semplici: più entropia c'è, più alto è il numero di seed possibili e più è difficile indovinare o ricreare la tua seed.

Se qualcuno riesce a ricostruire una seed debole, può anche ricavarne le private key. A quel punto l'attaccante può ripristinare il wallet su un altro sistema e inviare Bitcoin. Per farlo, quindi, non servono per forza la tua Coldcard, il PIN o le recovery words. In altre parole, nemmeno le persone che tenevano il proprio hardware wallet in una cassaforte fisica erano al sicuro. Un wallet è infatti sempre accessibile digitalmente se qualcuno ha la tua seedphrase e le tue private key.

Il termine “hack” qui, in realtà, è un po' ampio. Si trattava nello specifico di un errore nella generazione della seed nel firmware vulnerabile, non di un account online di Coinkite o di un attacco in cui ogni Coldcard è stata automaticamente compromessa.

In breve

• L'incidente riguardava un errore nella creazione di alcune seed di Coldcard.
• Una seed con poca entropia può essere più facile da ricostruire di quanto previsto.
• Chi riesce a ricostruire una seed può ricavarne le private key Bitcoin corrispondenti.
• Un PIN protegge il dispositivo, ma non ripara una seed debole.
• Una seed vulnerabile già esistente deve essere migrata a una nuova seed generata in modo sicuro.

Come è stato hackerato il wallet di Coinkite?

La vulnerabilità stava nel modo in cui alcune Coldcard creavano una nuova frase di recupero. A causa di un errore nel software, queste frasi di recupero erano meno casuali di quanto avrebbero dovuto essere.

Di conseguenza, gli hacker dovevano provare molte meno combinazioni possibili. Con abbastanza potenza di calcolo, sono riusciti a individuare alcune frasi di recupero e ad accedere ai bitcoin associati. Per farlo non avevano bisogno di mettere le mani sulla Coldcard stessa. Molti investitori quindi non sono nemmeno a conoscenza del problema e prima o poi scopriranno che le coin sono state rubate.

Il problema era presente già dal 2021 in diverse versioni del software. Soprattutto gli utenti che in quel periodo avevano creato una nuova frase di recupero sulla loro Coldcard erano a rischio. Aggiornare il software non basta: una vecchia frase di recupero vulnerabile resta infatti vulnerabile perché non cambia mai più. Gli utenti devono quindi, dopo l'aggiornamento, creare una nuova frase di recupero e spostare i loro bitcoin nel nuovo wallet.

Una password aggiuntiva sopra la frase di recupero poteva proteggere meglio il wallet. Il normale PIN del dispositivo non aiutava contro questo attacco, perché gli hacker potevano usare la frase di recupero rubata su un altro dispositivo.

Quali livelli di sicurezza usava il wallet Coldcard di Coinkite?

Coldcard disponeva di diversi livelli di sicurezza. Per esempio, le chiavi private restavano offline sul dispositivo e le transazioni potevano essere firmate senza collegare direttamente il wallet a internet. Un PIN impediva a chiunque di aprire il dispositivo senza permesso, mentre chip di sicurezza speciali dovevano proteggere le chiavi segrete dagli attacchi fisici.

Inoltre, gli utenti potevano impostare una password aggiuntiva o combinare più wallet, così che per una transazione servissero più firme digitali. Potevano anche conservare la propria frase di recupero offline per ripristinare il wallet in caso di perdita o danni.

Eppure una protezione cruciale non ha funzionato bene: la creazione della frase di recupero. Se fin dall'inizio è troppo prevedibile, molte altre misure di sicurezza possono essere aggirate. Un attaccante non deve quindi violare il dispositivo o il PIN, ma può provare a ricostruire direttamente la frase di recupero. Anche i clienti ignari sono quindi rimasti completamente sorpresi dal fatto che Coinkite non avesse la sicurezza sotto controllo.

Cosa puoi fare se il tuo hardware wallet è stato hackerato?

Vedi transazioni sconosciute o pensi che la tua frase di recupero sia stata esposta? Allora considera il tuo wallet non più sicuro. Un aggiornamento software non basta: la tua frase di recupero e le tue chiavi esistenti restano le stesse.

Agisci in fretta, ma con attenzione. Un indirizzo sbagliato o un backup salvato male possono infatti causare perdite anche mentre sposti i tuoi bitcoin.

1. Aggiorna il software Se il tuo wallet non è ancora vuoto, installa il prima possibile il software ufficiale più recente per il tuo hardware wallet. Scarica gli aggiornamenti solo dal sito del produttore.
2. Crea un wallet completamente nuovo Dopo l'aggiornamento, crea un nuovo wallet con una nuova frase di recupero. Non trasferire semplicemente la vecchia frase di recupero su un altro dispositivo, perché il rischio resterebbe.
3. Conserva e controlla la tua nuova frase di recupero Annota la nuova frase di recupero e conservala offline. Poi controlla sullo schermo del tuo hardware wallet che il nuovo indirizzo di ricezione sia corretto.
4. Invia prima un piccolo importo di prova Invia una piccola somma al nuovo wallet e verifica che arrivi. Solo dopo sposta il resto dei tuoi bitcoin.
5. Conserva temporaneamente il vecchio backup Non buttare subito la vecchia frase di recupero. Conservala finché il trasferimento completo non è confermato. Dopo di che, non usare più il vecchio wallet.

Le transazioni di bitcoin rubati di solito non possono essere annullate. Perciò registra le transazioni sconosciute e segnala il furto alla polizia.

Non condividere mai la tua frase di recupero o la password aggiuntiva con nessuno. Nemmeno se te lo chiede un exchange. Anche un vero operatore dell'assistenza non te lo chiederà. Chi ha la tua frase di recupero può, in linea di principio, accedere ai tuoi bitcoin.

Come prevenire una wallet hack di Coldcard?

Non puoi escludere del tutto un hack, ma puoi ridurre parecchio il rischio. Con Coldcard è soprattutto importante usare il software più recente e trattare con attenzione la tua frase di recupero.

1. Mantieni aggiornata la tua Coldcard Installa sempre il software ufficiale più recente prima di creare un nuovo wallet. Scarica gli aggiornamenti solo dal sito di Coldcard.
2. Crea una nuova frase di recupero se necessario La tua frase di recupero è stata generata con software vulnerabile? Allora aggiornare non basta. Dopo l'aggiornamento crea un nuovo wallet e sposta i tuoi bitcoin al nuovo indirizzo.
3. Tieni la tua frase di recupero completamente offline Non fare foto né copie digitali e non salvare le parole nella tua email o nel cloud. Non condividerle mai nemmeno con un sito web o con un operatore dell'assistenza.
4. Usa eventualmente una password aggiuntiva Una password aggiuntiva forte e unica può proteggere meglio il tuo wallet se qualcuno riesce a scoprire la tua frase di recupero. Conserva questa password separatamente e con cura: se la dimentichi, potresti non riuscire più ad aprire il wallet corrispondente.
5. Controlla ogni transazione sul dispositivo Prima di approvare, controlla sempre l'indirizzo di ricezione, l'importo e le commissioni di transazione sullo schermo della tua Coldcard. Non fidarti solo delle informazioni mostrate dal computer o dal telefono.
6. Testa il tuo backup Verifica di poter davvero recuperare l'accesso al tuo wallet con la tua frase di recupero prima di inviarci una somma grande.

Se vuoi aggiungere tu stesso ulteriore casualità quando crei la tua frase di recupero, puoi usare dei dadi. Fallo solo se sai esattamente come funziona. In caso di dubbio, creare una nuova frase di recupero con il software aggiornato è la scelta più sicura.

E se sei vittima di questo hack?

Pensi che la tua Coldcard sia stata colpita? Allora considera la tua frase di recupero non più sicura. Aggiorna prima la tua Coldcard, crea un wallet completamente nuovo e sposta i tuoi bitcoin il prima possibile. Invia prima un piccolo importo di prova e controlla con attenzione il nuovo indirizzo prima di trasferire il resto.

I tuoi bitcoin sono già stati rubati? Purtroppo la transazione non può essere annullata. Conserva tutte le informazioni sulle transazioni e sugli indirizzi e segnala il furto a Coinkite e alla polizia. Non condividere mai la tua frase di recupero con qualcuno che promette di recuperare i tuoi bitcoin: spesso si tratta di truffatori che cercano di colpire di nuovo. Se i Bitcoin sono stati davvero prelevati dal tuo wallet, non c'è nessuno, tranne l'hacker stesso, che possa ancora recuperarli.

Conclusione

L'hack di Coldcard mostra che anche un hardware wallet non è automaticamente del tutto sicuro. A causa di un errore nel software, alcune frasi di recupero sono state generate in modo meno casuale di quanto previsto. Gli hacker sono quindi riusciti a ricostruire queste frasi di recupero e a svuotare i wallet collegati, senza bisogno della Coldcard fisica o del PIN. In totale si stima che siano stati rubati 1.816 BTC, per un valore di circa 116 milioni di dollari al momento della scrittura.

L'incidente sottolinea quanto sia importante aggiornare regolarmente gli hardware wallet e prendere sul serio gli avvisi di sicurezza dei produttori. Chi usa potenzialmente una frase di recupero colpita non deve solo aggiornare il software, ma anche creare un wallet completamente nuovo e spostare con attenzione i bitcoin rimasti. Un aggiornamento, infatti, non rende improvvisamente sicura una frase di recupero vulnerabile già creata in precedenza.

Il cold storage riduce molti rischi, ma non li elimina del tutto. Alla fine, la sicurezza di un wallet non dipende solo dal dispositivo fisico, ma anche dal software, dalla creazione della frase di recupero e dal modo in cui l'utente conserva il proprio backup. La lezione più importante di questo hack è quindi semplice: non fidarti ciecamente di un solo livello di sicurezza, resta aggiornato sulle vulnerabilità e agisci subito quando il tuo wallet potrebbe essere in pericolo.