Coldcard: bug seed 2021 ruba 1.778 BTC, fix firmware 20 agosto

Coinkite rilascia firmware correttivo il 20 agosto 2026 dopo che un bug di entropia presente dal 2021 ha permesso il furto di oltre 1.778 BTC. I seed vulnerabili non

Coinkite ha rilasciato il firmware 5.6.1 per Mk4 e Mk5 e la versione 1.5.1Q per il modello Q il 20 agosto 2026. Il motivo: un difetto di generazione seed introdotto nel marzo 2021 ha ridotto l'entropia da 128 bit a circa 40-72 bit, rendendo i wallet brute-forcabili senza accesso fisico ai dispositivi. Il conto, secondo Galaxy Research, supera i 1.778 BTC — oltre 130 milioni di dollari al momento del calcolo della fonte.

Punti chiave

Il firmware 5.6.1/1.5.1Q rilasciato il 20 agosto 2026 sostituisce il generatore pseudo-random Yasmarang con SHA-256 Hash_DRBG e impone entropia utente obbligatoria.
Il bug risale al firmware 4.0.1 del marzo 2021: per oltre cinque anni alcuni seed sono stati generati con entropia ridotta a ~40-72 bit contro i 128 bit attesi.
Galaxy Research ha tracciato oltre 1.778 BTC rubati da circa 4.585 indirizzi, con stime che arrivano a 7.300 indirizzi e potenziale quarta ondata.
I seed esistenti su firmware vulnerabili non possono essere riparati: richiedono generazione ex novo e migrazione immediata dei fondi.

"We're treating this as a serious reminder of how the whole security model of a hardware wallet lives or dies on randomness"

— Charles Guillemet, Ledger CTO

Il bug nascosto nel cuore del generatore

Il problema risiede nella scelta di Coinkite di affidarsi al generatore pseudo-random Yasmarang invece che al generatore hardware-backed true RNG per alcune operazioni di creazione seed. Questa decisione, attiva dal firmware 4.0.1 del marzo 2021, ha prodotto un'entropia effettiva di circa 72 bit sui dispositivi Mk3 e fino a circa 40 bit su alcune configurazioni Mk4/Mk5.

La differenza è abissale. Con 128 bit di entropia, il numero di combinazioni possibili rende impraticabile un attacco brute-force anche con risorse computazionali statali. A 40-72 bit, lo spazio delle chiavi si restringe a dimensioni attaccabili con hardware consumer evoluto o cluster cloud. La conseguenza: gli attaccanti hanno potuto ricostruire i seed offline, senza mai toccare fisicamente i dispositivi Coldcard.

Il primo attacco documentato è stato fulmineo. Il 30 luglio 2026, secondo le analisi on-chain di Galaxy Research citate da Decrypt, sono stati svuotati 594 BTC — circa 38 milioni di dollari — da circa 500 wallet in soli 25 minuti, distribuiti tra i blocchi 960188 e 960191. Galaxy Research ha poi tracciato tre ondate principali e decine di incidenti minori.

L'ipotesi AI e la nuova velocità di scoperta

Coinkite e Galaxy Research hanno avanzato un'ipotesi che, se confermata, segnerebbe una svolta nel threat model del firmware open-source. Secondo la fonte, gli attaccanti potrebbero aver utilizzato strumenti di intelligenza artificiale per analizzare versioni storiche del firmware Coldcard, disponibile pubblicamente su repository open-source, e identificare il pattern di debolezza nell'implementazione di Yasmarang.

Rodolfo Novak, CEO di Coinkite, ha esplicitamente collegato l'incidente alla nuova realtà dell'AI-assisted code review: "AI-assisted code review can now find latent bugs at a speed that is outpacing even the industry's most seasoned experts". Il dossier non contiene tuttavia evidenza forense che confermi l'uso effettivo di AI da parte degli operatori malevoli: rimane un'ipotesi motivata dalla velocità e dalla precisione dell'attacco.

Il dato, confermato o meno, solleva un interrogativo per l'intero settore. Il codice legacy open-source — anche quello revisionato per anni da esperti umani — può ora essere sottoposto a screening automatico a scala industriale. La finestra tra introduzione di un bug e sua scoperta malevola si accorcia in modo non lineare.

Il fix del 20 agosto: cosa cambia e cosa non cambia

Il firmware 5.6.1 per Mk4/Mk5 e 1.5.1Q per Q introduce tre modifiche architetturali rilevanti. Primo: l'abbandono definitivo di Yasmarang in favore di SHA-256 Hash_DRBG come generatore deterministico. Secondo: l'attivazione di controlli sul vero generatore hardware di entropia, con verifica dello stato del RNG prima di ogni operazione critica. Terzo: l'obbligo di entropia aggiuntiva fornita dall'utente — almeno 65 pressioni di tasto, 50 lanci di dado o 128 lanci di moneta — prima della generazione di ogni nuovo seed.

Il dossier documenta inoltre l'introduzione di controlli PSBT pre-firma, hardening della stack USB, modalità Delta e miglioramenti al sistema di backup. Questi elementi rafforzano la superficie d'attacco generale del dispositivo ma non mitigano il problema fondamentale: i seed generati con firmware vulnerabili restano compromessi in modo irreversibile.

La fonte è esplicita su questo punto. Non esiste patch che trasformi un seed a 40-72 bit in uno a 128 bit. L'unica contromisura è la rigenerazione completa con il nuovo firmware e il trasferimento immediato dei fondi sul nuovo indirizzo.

Perché è importante

Il dossier non specifica misure correttive per utenti che non possano aggiornare firmware o rigenerare seed. Non documenta inoltre l'esistenza di CVE assegnato o di advisory CISA o CERT nazionali correlati. Il recupero dei fondi rubati appare remoto: circa il 90% dei BTC sottratti non si era mosso al 4 agosto 2026, ma la fonte non aggiorna questo dato oltre quella data.

L'identità degli attaccanti resta sconosciuta. Un'indagine law enforcement è in corso, secondo le fonti, ma nessun nome è stato reso pubblico al momento della stesura. Coinkite ha pubblicamente riconosciuto la gravità della situazione: "We know an apology doesn't return anyone's funds. We know we'll have to earn back our users' trust".

L'incidente smonta un assioma consolidato nella cultura crypto: che l'air-gap — l'assenza di connessione di rete — costituisca garanzia sufficiente di sicurezza. La lezione è diversa. La sicurezza di un wallet hardware dipende dalla catena completa: dal silicio del generatore di entropia al firmware che lo interroga, dall'audit del codice alla pratica di rigenerazione periodica. Un anello debole in qualsiasi punto compromette l'intera architettura.

FAQ

I dispositivi TAPSIGNER, OPENDIME e SATSCARD sono coinvolti?

Secondo la fonte, i prodotti citati non sono affetti dalla vulnerabilità. Il bug riguarda specificamente i modelli Coldcard Mk3, Mk4, Mk5 e Q con firmware vulnerabile.

Posso semplicemente aggiornare il firmware e mantenere il mio seed?

No. Il dossier documenta in modo esplicito che i seed esistenti generati con firmware vulnerabili non sono riparabili. È necessaria la rigenerazione completa.

È provato che gli attaccanti abbiano usato l'AI?

No. La fonte riporta che Coinkite ha suggerito questa ipotesi e che Novak ne ha discusso come paradigma emergente. Non esiste tuttavia conferma forense nel dossier.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti