Coinkite lancia un avvertimento ai possessori di Coldcard Mk3 dopo le segnalazioni di una perdita di 38 milioni di dollari in Bitcoin

Gli incidenti relativi ai portafogli hardware raramente si verificano come eventi isolati. Quando indirizzi rimasti inattivi per lungo tempo iniziano a registrare movimenti secondo uno schema strettamente coordinato, già la tempistica di per sé giustifica un’attenta analisi. È quanto è accaduto il 30 luglio 2026, quando circa 594 BTC, per un valore di circa 38 milioni di dollari, sono stati trasferiti da circa 500 indirizzi a firma singola nell’arco di circa 25 minuti.

Molti di questi portafogli erano rimasti inattivi per anni, con saldi che variavano in genere da 0,15 a 0,26 BTC. Al momento della stesura di questo articolo, nonostante le ampie discussioni online, l’azienda non ha confermato se il trasferimento di quasi 600 BTC sia direttamente collegato all’avviso di sicurezza relativo a Coldcard.

Cosa dice Coinkite

Il CEO di Coinkite, Rodolfo Novak, noto nel settore come NVK, ha affermato che l’azienda sta trattando le segnalazioni con la massima urgenza. «Siamo tutti al lavoro per analizzare a fondo ogni aspetto; a breve pubblicheremo un post tecnico», ha dichiarato Novak su X. Ha aggiunto che i canali di comunicazione dell’azienda sono stati «bombardati» di richieste di chiarimenti a seguito delle segnalazioni. In un altro aggiornamento, Novak ha sottolineato: «Abbiamo condotto numerose indagini sulle segnalazioni relative a COLDCARD; a breve pubblicheremo un post sul blog».

Il post sul blog contenente l’avviso di sicurezza dell’azienda indica una gamma specifica di dispositivi interessati. Chiunque abbia generato un seed su un Mk3 con versione del firmware compresa tra la 4.0.1, rilasciata nel marzo 2021, e la 5.0.3, l’ultima versione che supporta il Mk3, potrebbe essere interessato dal problema. Coinkite ha spiegato che, secondo le prime analisi, i modelli Mk4, Q e Mk5 non sono interessati. Coinkite ha descritto l’avviso come un riflesso dei primi risultati e ha affermato che seguirà una revisione tecnica formale man mano che l’indagine prosegue. I ricercatori della comunità stanno esaminando l’attività on-chain collegata alle segnalazioni. La discussione si è concentrata sulla possibilità di una casualità insufficiente nella generazione dei seed su alcune versioni più vecchie del firmware dei modelli Mk2 e Mk3, piuttosto che su una compromissione della catena di approvvigionamento. Al momento della pubblicazione, Coinkite non ha confermato la causa principale.

Gli utenti che utilizzano una passphrase corrono un rischio minore

Secondo l’avviso, i portafogli protetti con una passphrase BIP-39, ovvero una frase aggiunta dall’utente distinta dal PIN del dispositivo, sembrano presentare un rischio minimo in base alle prime analisi di Coinkite. L’azienda ha consigliato agli utenti che utilizzano una passphrase di continuare a proteggerla ed evitare di inserirla su dispositivi o siti web non affidabili.

Ai possessori di Mk3 che non hanno utilizzato una passphrase, Coinkite ha raccomandato di migrare verso un nuovo seed generato su un dispositivo non compromesso. L’azienda ha precisato che il processo non deve essere affrettato. Ha consigliato di inviare prima una piccola transazione di prova, verificare il nuovo portafoglio e l’indirizzo di ricezione sullo schermo del dispositivo e conservare il vecchio backup fino a quando la migrazione non sarà confermata.

Opzioni provvisorie

Coinkite ha delineato due passaggi provvisori per i possessori il cui Mk3 è l’unico dispositivo a loro disposizione:

• Aggiungere una passphrase BIP-39 forte e unica e trasferire i fondi nel portafoglio ora protetto.
• Generare un seed sostitutivo utilizzando il percorso di importazione "dice-roll" dell’Mk3, che non si basa sul generatore di numeri casuali del dispositivo, sebbene Coinkite abbia descritto questa procedura come avanzata e che richiede un’attenta verifica.

Coinkite ha pubblicato la procedura tecnica completa nel proprio avviso, disponibile sul blog dell’azienda. L’azienda ha spiegato che le indagini sono ancora in corso e che seguiranno ulteriori dettagli. Coldcard si è costruita una reputazione come portafoglio hardware incentrato sulla sicurezza e con isolamento fisico (air-gap) sin dal suo lancio, e le segnalazioni hanno attirato ampia attenzione in tutta la comunità Bitcoin, mentre i possessori valutano i propri dispositivi.