Bitcoin: maxi-furto Coldcard, mito sicurezza offline va in crisi
La comunità dei detentori di Bitcoin è in allarme dopo il massiccio attacco informatico che ha colpito i portafogli hardware Coldcard della società canadese Coinkite. I malintenzionati sono riusciti a sfruttare una debolezza risalente a cinque anni fa nella generazione delle chiavi di sicurezza, prosciugando circa 1600 bitcoin per un valore superiore ai 100 milioni di dollari da circa 7300 indirizzi. Un colpo che segna uno dei più gravi incidenti mai registrati nel campo dell'autocustodia delle criptovalute.
"Il cold storage è stato a lungo considerato una sorta di panacea, dopo che il crollo di FTX aveva messo in luce in modo così drastico il rischio di controparte legato alla custodia centralizzata", spiega all'agenzia Awp Dominic Weibel, responsabile della ricerca presso Bitcoin Suisse, azienda del settore con sede a Zugo. Ora arriva però il caso Coldcard, con un numero di indirizzi colpiti che lo rende un episodio di portata eccezionale.
I cosiddetti "portafogli freddi", dispositivi fisici che conservano le chiavi private offline senza connessione a internet, erano considerati fino a oggi la soluzione più affidabile, molto più sicura rispetto ai cosiddetti "portafogli caldi" o agli account sulle piattaforme di scambio. Ma Weibel mette in guardia: "Anche i portafogli hardware sono sicuri solo quanto il loro firmware, la loro generazione di chiavi di sicurezza e i processi che ne stanno alla base".
Secondo l'analista, l'attacco non ha preso di mira il protocollo bitcoin in sé, ma un difetto specifico nella creazione delle cosiddette "recovery phrases" (frasi di recupero) di alcune versioni del firmware. In pratica, il sistema utilizzava un grado di casualità insufficiente, consentendo agli hacker di ricostruire le chiavi sottostanti senza aver mai toccato fisicamente i dispositivi e senza bisogno di ingannare i possessori con truffe o email fraudolente.
Se da un lato Weibel esclude che si tratti di un difetto diffuso a livello di settore - "non ci sono indicazioni che la stessa debolezza sia presente in altri produttori" - dall'altro avverte che liquidare l'accaduto come un episodio marginale sarebbe riduttivo. "Psicologicamente l'incidente potrebbe a breve termine scuotere la fiducia nell'autocustodia, ma non rende i portafogli hardware obsoleti in linea di principio".
La lezione più ampia, stando al professionista, è che "non esiste una custodia completamente priva di rischi" e il bitcoin non fa eccezione rispetto ad altre classi di investimento. La strategia più solida resta spesso una soluzione a più livelli, che combini autocustodia, custodia professionalmente verificata e più salvaguardie indipendenti. Un approccio che diventa ancora più cruciale in un'epoca in cui "gli strumenti basati sull'intelligenza artificiale rendono la ricerca di vulnerabilità molto più economica e veloce", conclude il professionista.
