Coldcard obbliga all'entropia dell'utente dopo un furto di Bitcoin da oltre 100 milioni di dollari legato a un difetto del seed

Coinkite ha rilasciato il firmware 5.6.1 per il wallet hardware Coldcard, introducendo un cambiamento rilevante nella procedura di creazione del seed: per ogni nuovo seed generato sul dispositivo gli utenti dovranno fornire una propria fonte di entropia (casualità). In precedenza, la generazione si basava soprattutto sul generatore di numeri casuali interno del wallet. L'aggiornamento arriva dopo segnalazioni su una vulnerabilità collegata al processo di seed e associata a un importante furto di Bitcoin. Secondo CryptoPotato le perdite sarebbero intorno a 100 milioni di dollari; The Cryptonomist EN indica 112 milioni di dollari. Le due stime fanno riferimento allo stesso episodio, anche se l'ammontare esatto non è univoco nelle diverse ricostruzioni. Il seed è la base della self-custody: la seed phrase, in genere composta da 12 o 24 parole, codifica le chiavi private che controllano i fondi dell'utente. Se la casualità alla base del seed risultasse prevedibile, debole o compromessa, un attaccante potrebbe in teoria ricostruire le chiavi e svuotare il wallet. È questo il rischio al centro delle verifiche in corso. La richiesta di entropia fornita dall'utente è una misura di mitigazione da tempo consigliata da ricercatori di sicurezza. In pratica può tradursi in lanci di dadi, immagini acquisite con una fotocamera o altre fonti manuali di casualità. L'input dell'utente viene combinato con la casualità generata internamente dal dispositivo, senza sostituirla, con l'obiettivo di non dipendere da un'unica sorgente che potrebbe essere indebolita da un bug del firmware o da un problema nella supply chain. I wallet hardware vengono promossi come alternativa più sicura alla custodia presso gli exchange, perché le chiavi private non escono dal dispositivo. Questa promessa dipende in modo critico dall'integrità della generazione di casualità nella fase di configurazione: un difetto in quel momento riduce la sicurezza del cold storage, indipendentemente da quanto bene il device protegga poi le chiavi. L'episodio si inserisce in un quadro ricorrente per la sicurezza crypto. I casi più frequenti riguardano hack di exchange ed exploit di smart contract; vulnerabilità nei wallet hardware o nella generazione delle chiavi sono più rare ma potenzialmente più dannose, perché possono esporre fondi in modo silenzioso, mentre i proprietari li ritengono pienamente al sicuro. Gli utenti che hanno generato seed su versioni di firmware potenzialmente interessate potrebbero dover consultare le indicazioni di Coinkite per valutare se sia opportuno migrare verso seed creati nuovamente. Nelle fonti disponibili non ci sono citazioni dirette di Coinkite sulla causa tecnica specifica del problema; la modifica al firmware suggerisce comunque che l'azienda abbia ritenuto insufficiente il precedente processo di entropia. L'obbligo di input da parte dell'utente viene presentato come risposta diretta all'exploit riportato. Impatto sul mercato L'effetto immediato dovrebbe riguardare soprattutto gli utenti Coldcard e, più in generale, il segmento dei wallet hardware per la self-custody. La rinnovata attenzione sulle pratiche di generazione del seed potrebbe spingere altri produttori a rivedere o rafforzare le proprie implementazioni dell'entropia. Per il mercato crypto nel suo complesso, l'episodio riaccende il dibattito sul rischio di custodia: investitori istituzionali e retail che valutano self-custody rispetto ad asset detenuti su exchange potrebbero includere questo caso nelle proprie analisi. Nelle segnalazioni disponibili non sono presenti dati di prezzo o di trading riconducibili all'evento, quindi eventuali reazioni di mercato più ampie restano non confermate. In sintesi, il firmware 5.6.1 introduce un requisito operativo per ridurre i rischi legati al seed, mentre la dimensione delle perdite associate all'incidente continua a variare a seconda delle fonti. Agli utenti Coldcard viene raccomandato di aggiornare e di seguire le linee guida ufficiali di Coinkite sulla gestione dei seed. Domande frequenti Che cos'è Coldcard? Coldcard è un wallet hardware prodotto da Coinkite, progettato per conservare offline le chiavi private di Bitcoin nell'ambito della self-custody. Che cosa significa "entropia dell'utente" in questo contesto? Indica la casualità che una persona contribuisce manualmente, ad esempio con lanci di dadi o input da fotocamera, combinata con la casualità interna del dispositivo per generare un nuovo seed. Quanti Bitcoin sarebbero stati rubati nell'incidente collegato a questo aggiornamento? Le stime differiscono: CryptoPotato parla di circa 100 milioni di dollari di perdite, The Cryptonomist EN di 112 milioni di dollari. Gli attuali utenti Coldcard devono fare qualcosa? Chi ha generato seed prima di questo aggiornamento può consultare le indicazioni ufficiali di Coinkite per capire se sia consigliata la rigenerazione del seed. Notizia originariamente riportata da AltcoinGordon e scritta da Grace Mitchell. Ripubblicata con permesso. Versione originale su AltcoinGordon.