CZ esorta gli utenti a diversificare i portafogli dopo l’exploit da 70 milioni di dollari ai danni di Coldcard

Changpeng Zhao, fondatore di Binance noto come CZ, ha invitato gli detentori di criptovalute a ripartire i propri fondi su più portafogli a seguito di un grave exploit che ha colpito dispositivi hardware Coldcard, con perdite stimate intorno ai 70 milioni di dollari.

Changpeng Zhao ha dichiarato:

“Anche gli hardware wallet possono avere bug. Anche wallet datati (con lunga storia) possono presentare vulnerabilità. Come mitigare? Forse dividere i fondi in più wallet? Questo comporta un diverso insieme di rischi. Nulla è al 100%. Rimanete informati. Rimanete SAFU!”

Dettagli dell’attacco

Nella giornata del 30 luglio alcuni possessori di Bitcoin hanno scoperto transazioni inattese che svuotavano i loro portafogli Coldcard. L’attaccante ha sfruttato una falla del firmware risalente a marzo 2021 che indeboliva l’entropia usata per generare i seed di recupero su determinati modelli.

Ricostruendo le chiavi private offline, l’autore dell’attacco è riuscito a trasferire i fondi senza mai avere accesso fisico ai dispositivi. Le prime stime indicavano circa 594 BTC sottratti in una finestra di 25 minuti, valore che al tempo corrispondeva a circa 38 milioni di dollari. Analisi successive, condotte da Galaxy Research, hanno ampliato la portata dell’incidente a 1.082,65 BTC, ossia circa 70 milioni di dollari prelevati da 1.196 indirizzi in circa 41 minuti. Numerosi wallet compromessi risultavano inattivi da anni.

Risposta del produttore e raccomandazioni

Il produttore dei dispositivi, Coinkite, ha riconosciuto l’esistenza del bug, ha chiesto scusa agli utenti e ha rilasciato aggiornamenti di firmware d’emergenza. L’azienda ha sottolineato che chi ha generato un seed di recupero su versioni vulnerabili deve creare un seed completamente nuovo su dispositivi aggiornati e migrare i fondi con attenzione.

Coinkite ha avvertito esplicitamente che l’aggiornamento del firmware non protegge automaticamente un seed già creato in precedenza: il problema risiede nella qualità della casualità usata al momento della generazione del seed, e non nell’esecuzione successiva del dispositivo.

Implicazioni per la custodia e per gli investitori

L’episodio riapre il dibattito sui limiti della self-custody. Gli hardware wallet sono considerati tra le opzioni più sicure per conservare Bitcoin offline, ma questa vicenda dimostra che dispositivi consolidati possono nascondere difetti critici per anni prima di essere scoperti.

Il suggerimento di CZ di diversificare i portafogli mette in evidenza un principio di gestione del rischio: distribuire i fondi riduce l’impatto di una singola falla, ma introduce complessità nella gestione delle chiavi, maggior probabilità di errore umano e costi operativi più elevati. Per gli investitori istituzionali e privati emergono quindi scelte delicate tra affidarsi a servizi di custodia centralizzati, che offrono procedure di sicurezza e assicurazioni, e mantenere il controllo diretto con tutte le responsabilità associate.

Dal punto di vista del mercato, incidenti di questa natura possono influenzare la fiducia degli utenti, spingere a maggiori verifiche indipendenti del firmware e accelerare richieste regolamentari volte a standard di sicurezza più stringenti per i produttori di dispositivi crittografici.

Per il pubblico italiano è importante valutare policy di sicurezza chiare: backup distribuiti, procedure per la migrazione sicura dei fondi, e considerare polizze di copertura dove disponibili. È inoltre opportuno che i produttori investano in audit esterni e programmi di bug bounty per ridurre il rischio di vulnerabilità non rilevate.

In sintesi

• La vulnerabilità dei Coldcard evidenzia come anche soluzioni ritenute sicure possano rappresentare un rischio sistemico: per gli investitori italiani ciò significa rivalutare le pratiche di risk management e la possibile integrazione di soluzioni assicurative.
• La raccomandazione di diversificare i portafogli comporta minori rischi concentrati ma aumenta la complessità operativa; i consulenti finanziari e i provider devono offrire strumenti e procedure per gestire questa complessità in modo pratico e sicuro.
• Un maggior focus su audit indipendenti e su standard regolamentari europei per dispositivi crittografici potrebbe migliorare la fiducia del mercato e ridurre la probabilità di exploit analoghi, influenzando positivamente la stabilità del settore crypto nel medio termine.