La Nuova Sardegna

Roma Sono circa 1.816 i Bitcoin trasferiti dagli indirizzi compromessi, per un controvalore vicino ai 116 milioni di dollari. È il bilancio ancora provvisorio dell’attacco informatico che dal 30 luglio ha colpito alcuni portafogli creati attraverso i dispositivi Coldcard, considerati tra gli strumenti più sicuri per custodire criptovalute.

Secondo l’analisi delle operazioni registrate sulla blockchain condotta da Galaxy Research, i trasferimenti sospetti si sono sviluppati in quattro diverse ondate e hanno interessato più di 5.200 indirizzi. Un numero che non corrisponde necessariamente ad altrettanti utenti, perché uno stesso portafoglio può utilizzare più indirizzi.

Coldcard non è una piattaforma online, ma un hardware wallet prodotto dalla società canadese Coinkite. Si tratta di un dispositivo fisico che conserva offline le chiavi private necessarie per controllare e trasferire i Bitcoin. Proprio per l’isolamento dalla rete, questi apparecchi vengono spesso descritti come una sorta di caveau digitale.

Gli aggressori, però, non avrebbero avuto bisogno di collegarsi direttamente ai dispositivi. Il problema riguardava alcune versioni del firmware, cioè il software installato nel wallet, che generavano le cosiddette “seed phrase” con un livello di casualità inferiore a quello previsto. La seed phrase è la sequenza di parole dalla quale vengono ricavate le chiavi private: se questa combinazione diventa prevedibile, può essere ricostruita attraverso calcoli eseguiti offline.

Gli hacker avrebbero quindi prodotto una serie di possibili credenziali, ricavato gli indirizzi corrispondenti e confrontato i risultati con i dati pubblici della blockchain, individuando quelli sui quali erano depositati Bitcoin. In questo modo è stato possibile trasferire i fondi senza rubare materialmente i dispositivi e senza violare il protocollo Bitcoin.

Coinkite ha pubblicato un aggiornamento correttivo per i modelli interessati, ma ha precisato che installare il nuovo firmware non basta a rendere sicure le seed phrase create in precedenza. I proprietari potenzialmente esposti devono generare nuove credenziali attraverso una versione aggiornata del software e trasferire i fondi sul nuovo portafoglio.

Il caso mostra che la custodia offline riduce molti dei rischi legati agli attacchi informatici tradizionali, ma non elimina quelli derivanti da errori nel codice o nei sistemi utilizzati per creare le chiavi. La sicurezza di un hardware wallet, infatti, dipende non soltanto dal fatto che rimanga scollegato da internet, ma anche dalla qualità del firmware, dalla corretta generazione delle credenziali e dalle procedure adottate dall’utente.