Coldcard hack: oltre 100 milioni di dollari in Bitcoin rubati, il totale potrebbe salire a 130

Coldcard hack: oltre 100 milioni di dollari in Bitcoin rubati, il totale potrebbe salire a 130 milioni

Il caso Coldcard continua ad allargarsi.

Quando ne avevamo parlato la prima volta, le stime erano ferme a circa 89 milioni di dollari. Gli ultimi dati attribuiti a Galaxy Research parlano ora di circa 1.596 BTC sottratti da oltre 7.000 indirizzi, per più di 100 milioni di dollari.

Una possibile ulteriore ondata, ancora da confermare con lo stesso livello di certezza, potrebbe portare il totale vicino ai 130 milioni di dollari. Coinkite ha precisato di non essere in grado di verificare indipendentemente tutte le cifre prodotte dagli analisti.

Il punto centrale dell’attacco resta però il modo in cui sono state generate alcune seed phrase.

Pensate alla seed come alla combinazione di una cassaforte: normalmente viene scelta all’interno di uno spazio di possibilità così enorme che indovinarla provando le combinazioni è, di fatto, impraticabile.

Un errore introdotto nel firmware Coldcard nel 2021 avrebbe invece ridotto drasticamente questa casualità su alcuni dispositivi. Nel caso dei Mk3 vulnerabili, le analisi tecniche parlano di un livello di entropia molto inferiore ai 128 bit previsti.

In altre parole, la combinazione continuava a sembrare casuale al proprietario, ma poteva provenire da un insieme di possibilità enormemente più ristretto.

Gli attaccanti potevano quindi lavorare completamente offline: generare possibili seed, ricostruire gli indirizzi Bitcoin associati e controllare sulla blockchain quali contenevano fondi.

Il wallet fisico poteva essere spento, scollegato da Internet e chiuso in una cassaforte.

Il problema era già nella chiave generata anni prima.

Ed è per questo che un semplice aggiornamento del firmware non corregge una seed vulnerabile già esistente: per i dispositivi coinvolti è necessario generare una nuova seed in condizioni sicure e migrare i fondi.

Una vicenda che mostra un limite spesso dimenticato della self-custody: puoi proteggere perfettamente una chiave, ma prima devi essere sicuro che quella chiave sia stata generata correttamente.

#Bitcoin #Coldcard #HardwareWallet #Crypto #SelfCustody Cybersecurity B

source