L'investigatore blockchain ZachXBT afferma di non avere intenzione di indagare sull'attacco hacker ai danni di Coldcard, per un valore di 88,6 milioni di dollari, spiegando ai propri follower che la comunità di Bitcoin gli ha offerto scarso sostegno in cambio del lavoro svolto negli anni passati.
ZachXBT si rifiuta di ricostruire l'hacking da 88 milioni di dollari ai danni di Coldcard
SCRITTO DA
CONDIVIDI
Punti chiave
- ZachXBT ha rifiutato di indagare sull’attacco a Coldcard, citando lo scarso sostegno da parte dei possessori di Bitcoin.
- La violazione di Coldcard da parte di Coinkite ha prosciugato 1.367 BTC da 4.585 indirizzi a partire dal 30 luglio 2026.
- Galaxy Research sta ancora monitorando i fondi rubati, mentre la politica di conservazione delle e-mail di Coinkite suscita nuove polemiche.
ZachXBT afferma di avere «meno obblighi» di fornire assistenza
Il prolifico investigatore on-chain, noto per aver smascherato gli hacker responsabili di alcuni dei più grandi furti nel mondo delle criptovalute, ha pubblicato su X che al momento non ha intenzione di monitorare o rintracciare l’incidente di Coldcard. Ha affermato di dedicare il proprio tempo agli ecosistemi che apprezzano il suo lavoro, aggiungendo che i "maxi" di Bitcoin non sono né donatori né sostenitori delle sue indagini, quindi ha meno obblighi di fornire assistenza.
L’osservazione è arrivata mentre la violazione di Coldcard entrava nel suo quinto giorno e il totale dei danni continuava a salire. ZachXBT ha già lavorato pro bono su casi importanti, e il suo post suggerisce che vi sia un forte divario tra la buona volontà che la comunità di Bitcoin gli ha dimostrato e lo sforzo che gli viene chiesto di profondere quando le cose vanno male.
La violazione di Coldcard fino ad ora
La vulnerabilità è riconducibile a un difetto del firmware nei portafogli hardware prodotti dal produttore canadese Coinkite. Il bug ha interessato i dispositivi Coldcard Mk3 con versioni da 4.0.1 a 4.1.9, causando in alcuni portafogli la generazione dell’entropia del seed tramite un generatore di numeri casuali software anziché tramite il chip dedicato dell’hardware, un difetto che ha reso alcuni seed indovinabili.
La prima ondata si è verificata il 30 luglio, quando circa 594 BTC, per un valore di circa 38 milioni di dollari all’epoca, sono stati sottratti da quasi 500 indirizzi inattivi in meno di 30 minuti. Coinkite ha rilasciato un firmware corretto entro due giorni, ma il danno ha continuato a diffondersi e, al 2 agosto, Galaxy Research aveva calcolato un totale cumulativo di 1.367 BTC, per un valore di 88,6 milioni di dollari, sottratti da 4.585 indirizzi nel corso di tre ondate di attacchi distinte.
La rapidità e la precisione dei furti hanno alimentato le speculazioni secondo cui strumenti automatizzati, forse assistiti dall’intelligenza artificiale, abbiano aiutato l’autore dell’attacco a identificare e svuotare gli indirizzi vulnerabili nel giro di pochi minuti da ogni ondata. Il furto ha continuato a crescere a dismisura anche mentre i depositi sugli exchange provenienti dai fondi rubati registravano un’impennata e i BTC più vecchi, precedentemente inattivi e collegati al caso, ricominciavano a circolare.
La conservazione dei dati alimenta le polemiche
La gestione delle conseguenze da parte di Coinkite è diventata essa stessa oggetto di polemiche, dato che l’azienda ha inviato un’e-mail a tutti gli indirizzi dei clienti che è riuscita a rintracciare dai registri del negozio e della newsletter, alcuni dei quali risalenti al 2019, per avvertirli del bug.
Ciò contraddiceva le precedenti affermazioni del CEO Rodolfo Novak, secondo cui Coinkite cancellava i dati dei clienti 90 giorni dopo un acquisto e offriva opzioni di acquisto anonime. Coinkite ha successivamente ammesso di conservare a tempo indeterminato gli indirizzi e-mail utilizzati per gli acquisti e ha riconosciuto di non disporre di una politica di cancellazione per tali dati, una rivelazione che ha suscitato una propria ondata di critiche, distinta dall’attacco informatico stesso.
Novak ha difeso il bilancio complessivo dell’azienda in materia di sicurezza, sottolineando che i concorrenti subiscono regolarmente violazioni e che Coinkite prende la questione estremamente sul serio. Tuttavia, l’episodio ha già iniziato a minare la fiducia nell’autocustodia e potrebbe spingere gli investitori più cauti a tornare verso i fondi negoziati in borsa (ETF) invece di gestire autonomamente le proprie chiavi.
La vicenda si è estesa anche a un dramma on-chain che va oltre il furto stesso. Un’audace offerta di riciclaggio di bitcoin rivolta all’hacker è stata pubblicata direttamente sulla blockchain di Bitcoin, trasformando il caso in uno spettacolo pubblico che si svolge in tempo reale sui social media e nei dati on-chain.
Con il ritiro di pesi massimi come ZachXBT, l’onere di rintracciare i 1.367 BTC rubati ricade ora in misura maggiore su aziende come Galaxy Research, che ha pubblicato aggiornamenti a ondate man mano che l’attività del portafoglio dell’autore dell’attacco si evolve. Sono emerse notizie secondo cui il bug di entropia che colpisce i dispositivi Coldcard Mk3 risale a una build del firmware del marzo 2021, il che significa che qualsiasi seed del portafoglio generato su quella versione negli ultimi quattro anni potrebbe essere ancora esposto fino a quando i proprietari non passeranno a un nuovo seed sul firmware aggiornato.
Questo articolo è stato tradotto dall'inglese tramite IA. La versione originale in inglese è la fonte autorevole; le traduzioni automatiche possono contenere imprecisioni, in particolare nella terminologia legale e normativa.
