Bug nella generazione delle seed di Coldcard: oltre 100 milioni di dollari in BTC sottratti a migliaia di wallet

Il bug nella generazione della seed di Coldcard è rimasto inosservato per anni, anche se gli utenti potevano ispezionare il firmware pubblico. In seguito, una ricerca ha ricondotto il problema a una modifica del firmware di marzo 2021 (v4.0.0) che, durante la creazione della frase seed, utilizzava un generatore di casualità più debole invece della prevista sorgente dedicata di entropia hardware. I ricercatori riferiscono furti di circa 1.596–1.816 BTC (oltre 100 milioni di dollari) da circa 5.200–7.300 indirizzi. Coinkite afferma che alcuni modelli colpiti avevano un’entropia stimata di ~72 bit rispetto ai 128 bit previsti, riducendo drasticamente lo spazio di ricerca della seed. Il team di sicurezza di Block dichiara che il percorso di casualità interessato non ha fornito alcuna casualità sicura. Coinkite ha rilasciato firmware corretti per i modelli Coldcard interessati, ma l’aggiornamento non “aggiorna” le frasi di recupero esistenti. Gli utenti colpiti devono installare la patch, generare una nuova seed e spostare i fondi verso indirizzi derivati dalla seed corretta. James O’Beirne ha segnalato il problema della casualità dopo un audit nel maggio 2025, tracciandolo a libngu. Per i trader, il difetto nella generazione della seed di Coldcard rafforza il rischio di controparte/produttore dell’autocustodia nella fase di creazione delle chiavi. È un danno reputazionale e operativo per la fiducia nelle hardware wallet, ma l’evento è improbabile che sposti i fondamentali di BTC.