Ciao ,

Parto dalla cosa importante: se hai generato il seed su un Coldcard e non hai usato dadi o una passphrase forte, salta direttamente al punto 3 di questa email. Il resto lo leggi dopo aver spostato i fondi.

E scusami se questa email arriva tardi. Sono rientrato da poco dal mare e proprio al mare mi si è rotto il portatile. A questa newsletter e ai miei social ho accesso solo io, il team non può pubblicare al posto mio, quindi finché non sono tornato operativo non è uscito niente. Preferisco dirti com'è andata piuttosto che far finta di aver scelto i tempi.

Per tutti gli altri, mettiamo ordine. In questi giorni ho ricevuto decine di messaggi del tipo "quindi Ledger è sicuro?", "torno su exchange?", "è finita la self custody?". 

Provo a rispondere per bene.

Cosa è successo

Marzo 2021. Coinkite (l'azienda canadese che produce Coldcard) rilascia un aggiornamento del firmware. Dentro c'è un errore di build.

Il Coldcard ha un chip dedicato che serve a una cosa sola: generare numeri veramente casuali per creare il seed. 

Nella configurazione di produzione una variabile era impostata a zero, perché Coinkite usava un proprio sistema per gestire quel chip. Il problema è che la libreria controllava se quella variabile esistesse, non se fosse attiva. 

Risultato: il firmware, in silenzio, smetteva di usare il chip hardware e ripiegava su un generatore di numeri casuali software di MicroPython. Quel generatore veniva inizializzato dall'ID univoco del chip e dai registri del timer, e dopo l'inizializzazione non raccoglieva più nessuna entropia nuova.

Tradotto: un seed che doveva avere 128 bit di entropia ne aveva molti meno.

Quanto meno dipende dal modello. Il problema è presente su Mk2 e Mk3 con firmware dalla 4.0.1 alla 4.1.9 inclusa, sui Mk4 e Mk5 con seed generati prima della versione 5.6.0 (o Edge 6.6.0X), e sui Q prima della 1.5.0Q (o Edge 6.6.0QX). Tapsigner, Opendime e Satscard non sono coinvolti perché usano codice diverso. Sui Mk4, Mk5 e Q Coinkite dichiara circa 72 bit invece dei 128 attesi. Sui Mk3 l'analisi degli ingegneri di Block parla di circa 40 bit, cifra che Coinkite ha confermato definendola preliminare.

Per capirci: 40 bit sono circa mille miliardi di combinazioni. Un numero che sembra enorme e invece è ridicolo. Con la potenza di calcolo che si affitta oggi a poche centinaia di euro, mille miliardi di chiavi si provano tutte. 128 bit invece no, e non li proverai mai: puoi mettere ogni granello di sabbia dell'universo a calcolare mille miliardi di seed al secondo dal Big Bang a oggi e non ne avresti provata una frazione significativa.

Il resto è meccanica. Gli attaccanti hanno rigenerato offline i seed possibili, hanno confrontato gli indirizzi risultanti con quelli che sulla blockchain avevano un saldo, e hanno svuotato quelli più pieni. Non hanno mai toccato un dispositivo.

Il 30 luglio un attaccante ha svuotato 1.196 indirizzi in 41 minuti, portando via 1.082 BTC. Poi sono arrivate altre ondate. Martedì Galaxy Research stimava circa 130 milioni di dollari sottratti, e parla di almeno una dozzina di gruppi diversi che ora lavorano sullo stesso bug. Mentre scrivo il conteggio sta ancora salendo.

Una frase di una delle vittime, Jonathan Goodman, che ha perso 1,6 milioni: non ha mai condiviso il seed con nessuno, i dispositivi non hanno mai toccato internet, i backup erano in cassette di sicurezza. Non è servito a niente, perché il problema era in una riga di codice del 2021.

Ecco perché questa storia mi ha scosso più di altre. Non ha colpito chi non studia. Ha colpito esattamente chi aveva studiato (magari non dal giusto formatore, ma comunque stiamo parlando di chi aveva studiato e fatto bene i compiti a casa), chi aveva scelto il dispositivo con la reputazione di sicurezza più alta sul mercato, chi faceva tutto per bene.

E qui ti dico una cosa con tutta l'onestà di cui sono capace: questa volta mi sono spaventato anche io.

Non in astratto. Il Coldcard ce l'ho, è quello nella foto. Ho passato ore a ricostruire come e quando era stato generato ogni seed, con il telefono che vibrava di messaggi di persone che mi chiedevano cosa fare.

E lasciami dire una cosa a chi ci ha rimesso davvero. Questo attacco ha colpito gente esperta, non l'uomo della strada che clicca sul link sbagliato. Ha colpito chi si era studiato il protocollo, chi aveva scelto il dispositivo più tosto sul mercato proprio perché ci metteva dentro i risparmi di una vita. Se sei tra questi, mi dispiace seriamente. Non hai sbagliato niente. E chi in questi giorni ha fatto il fenomeno sui social prendendo in giro chi ha perso tutto non ha capito niente di quello che è successo.

L'unica cosa che mi ha fatto tirare il fiato è che nei corsi che abbiamo fatto negli anni, tra le varie strategie, avevamo sempre messo la generazione del seed con il lancio dei dadi. Chi ci ha dato retta su quel punto oggi è a posto, indipendentemente dal bug.

E stavolta, stranamente, è andata bene anche a me. Lo dico con una certa incredulità, perché da inizio anno mi capitano situazioni grottesche una dietro l'altra: la sensazione è quella di uno che al casinò becca cinquanta volte di fila il colore sbagliato.

Statisticamente prima o poi la serie si spezza. Magari si è spezzata qui. Un giorno ve la racconto per bene sui social, perché alcune cose che mi sono successe quest'anno non le crederesti.

Sulle passphrase invece voglio essere preciso, perché in questi giorni vedo gente riscrivere la storia. 

Fino a una settimana fa la passphrase la spiegavamo tutti, me compreso, come strumento per il wallet civetta: ti entrano in casa con la chiave inglese, gli apri il wallet con dentro cinquemila euro, il resto è dietro la passphrase. Serviva a difenderti da una persona, non da un bruteforce. Nessuno la presentava come una difesa contro un difetto di entropia del dispositivo. Chi oggi ti dice il contrario ti sta raccontando una balla, e io non ho voglia di raccontartene.

Il risultato è che la passphrase ha salvato dei wallet quasi per caso, e solo per chi l'aveva fatta lunga sul serio. Ai tempi dicevamo di aggiungere una o due parole: oggi so che una o due parole non ti avrebbero salvato. Tra poco ti spiego cosa serve davvero.

Il CEO di Coinkite, Rodolfo Novak, si è scusato pubblicamente e si è preso la responsabilità del bug. Al momento l'azienda sta assistendo le vittime ma non ha offerto nessun rimborso.

La parte che mi preoccupa di più: perché proprio adesso

Quel bug era lì da cinque anni. Il codice del Coldcard è open source, chiunque poteva leggerlo, gli auditor ci sono passati sopra. Nessuno l'ha visto. Poi, nel giro di poche settimane, qualcuno l'ha trovato.

Coinkite stessa ipotizza che gli attaccanti abbiano usato intelligenza artificiale per revisionare il codice open source e individuare la vulnerabilità. E qui c'è il dettaglio che mi ha fatto più impressione di tutti: nel loro approfondimento tecnico scrivono che poche settimane prima avevano fatto revisionare il proprio codice da uno dei migliori modelli AI disponibili, in cerca di problemi di sicurezza. Non ha trovato questo bug, né nient'altro di serio.

Non è un caso isolato. Sta succedendo ovunque. Una vulnerabilità critica nel pool Orchard di Zcash è rimasta nascosta da maggio 2022 fino a giugno 2026, quando un ricercatore l'ha trovata con un agente costruito su un modello Claude. CertiK ha registrato 204 exploit di vulnerabilità nel codice per 151,6 milioni, con gli attacchi a contratti più vecchi di un anno in crescita. Nel primo semestre 2026 TRM Labs ha contato 207 attacchi separati, il numero più alto mai registrato in sei mesi.

E qui c'è lo spostamento di cui parlavo nella live. Fino a un anno fa il bersaglio era la DeFi: smart contract, bridge, protocolli. Adesso il focus si sta spostando dai bug negli smart contract a rischi infrastrutturali più profondi come la gestione delle chiavi. Bitcoin come protocollo non è stato toccato e non lo sarà, ma tutto quello che ci sta intorno (firmware, wallet, servizi Lightning, exchange) è codice scritto da esseri umani prima che esistessero strumenti in grado di leggerlo tutto in un pomeriggio.

Questa è la mia previsione, e non è ottimista: tutto ciò che è stato scritto prima dell'era AI verrà passato al setaccio. Se dentro c'è un errore, salterà fuori. Il Coldcard non sarà l'ultimo caso.

Ne abbiamo parlato in live

Ieri sera ho fatto una live con Tiziano e Francesco Conza (che si occupa di crittografia e privacy su Bitcoin, e costruisce setup di sicurezza per aziende e privati). Un'ora e mezza su cosa è successo, sui limiti degli hardware wallet, sulle passphrase e su come cambia il threat model in un'epoca in cui il codice vecchio è tutto sotto esame.

3. Se hai un Coldcard

Prima di tutto: aggiornare il firmware non ripara niente. Un seed generato con il firmware difettoso resta debole per sempre, e spostare la stessa frase di recupero su un altro wallet non risolve, perché il problema segue la frase, non il dispositivo. Va generato un seed nuovo e i fondi vanno migrati.

Ci sono tre situazioni in cui non sei nel gruppo a rischio immediato, e sono tutte casi in cui l'entropia l'hai portata tu. Occhio però, perché non sono equivalenti.

Dadi. Questa è l'unica vera assoluzione. Il bug riguarda l'entropia generata dal dispositivo, non quella che hai aggiunto tu con i dadi: il Coldcard combinava il seed generato internamente con ogni tiro inserito. Da 50 a 98 tiri indipendenti e privati, i soli dadi hanno contribuito almeno 128 bit. Da 99 in su, circa 256. Coinkite scrive testualmente che, se i tiri erano onesti, indipendenti e non registrati da nessuna parte, quel seed non è considerato a rischio per questo problema. Se sei sotto i 50, o non ricordi quanti ne hai fatti, sei fuori da questa casella.

Passphrase. Qui devo essere preciso, perché in giro sta circolando la versione sbagliata. Una passphrase forte non ripara il seed: aggiunge una barriera indipendente, quindi all'attaccante non basta più ricostruire le parole, gli serve anche indovinare la passphrase. Ti compra tempo, non ti assolve. Coinkite è esplicita: anche con una passphrase forte, migra a un seed nuovo appena puoi.

E deve essere forte davvero. Unica, segreta e conservata separatamente dal backup del seed. Una passphrase corta, comune, con uno schema riconoscibile, citata da qualche parte, riutilizzata altrove o di cui non sei sicuro non vale: quei fondi vanno considerati a rischio adesso. Come riferimento, per arrivare a 128 bit servono più o meno 10 parole comuni scelte a caso, 25 caratteri alfanumerici casuali, o 20 caratteri ASCII casuali. "Bitcoin2021!" non è una passphrase. E per chiarezza: parliamo della passphrase BIP-39, non del PIN del dispositivo.

Entropia esterna. Il seed l'hai generato fuori dal Coldcard e poi importato.

Su quest'ultimo punto mi è arrivata questa mattina una domanda precisa da uno di voi, e la riporto perché riguarda parecchie persone: 

"questa è una domanda riguardo chi, come suggeriva il corso, ha creato la mnemonica con i dadi su IanColeman (offline, Tails) per poi importare il wallet su Coldcard. Visti i recenti avvenimenti, questi utenti sono comunque al sicuro? Questo perché la mnemonica non è stata creata da Coldcard, giusto?"

Giusto. Se il seed è nato dai tuoi dadi su una macchina offline e il Coldcard l'ha soltanto ricevuto, il bug non ti tocca: quel firmware ha sbagliato a generare entropia, non a custodire un seed che gli hai dato tu. Il dispositivo lì fa da firmatario, non da sorgente di casualità.

Se non rientri in nessuno di questi tre casi, ecco l'ordine di urgenza.

Subito, adesso, senza aspettare domani

Sei in single signature con un dispositivo coinvolto e senza mitigazioni. Oppure hai un multisig N di N (2 di 2, 3 di 3) fatto di soli Coldcard senza mitigazioni: gli attaccanti conoscono tutti i tuoi seed, devono solo incastrare i pezzi.

Se non sai come fare, fatti aiutare da qualcuno. Ma fallo oggi.

Urgente

Single signature con dadi sotto i 50 tiri o con una passphrase debole. Il tuo seed è conosciuto, l'unica cosa che ti protegge è quanta entropia hai aggiunto tu. Se la passphrase è una parola sola sei praticamente nel gruppo sopra. Se sono sei parole a caso non sei al sicuro, sei solo più lento a essere trovato.

Presto, ma con una precauzione sul broadcast

Multisig in cui i Coldcard compromessi da soli bastano a muovere i fondi (esempio classico: 2 di 3 con due Coldcard). Qui c'è un problema aggiuntivo: se un attaccante ha già ricostruito i tuoi seed, nel momento in cui trasmetti la transazione di recupero può provare a fartela davanti. Vale la pena guardare il servizio Slipstream di MARA, che usa una mempool privata: quando l'attaccante vedrebbe la tua transazione, quella è già in un blocco.

Attenzione: se in questo scenario hai riutilizzato indirizzi, per quegli indirizzi torni al primo gruppo. Rischio immediato.

Rotazione delle chiavi

Hai un Coldcard compromesso in un quorum dove le altre chiavi sono sane e la minoranza compromessa non basta a muovere i fondi. I soldi sono al sicuro, ma la tua sicurezza è ridotta. Pianifica la sostituzione del dispositivo quando puoi farlo con calma.

Come si fa la migrazione senza combinare guai.

Prima di toccare qualsiasi cosa, verifica di avere un backup corretto e leggibile delle parole attuali e l'impronta del wallet, e non cancellare niente. Poi installa il firmware corretto per il tuo modello: 4.2.0 o successiva per Mk2 e Mk3, 5.6.0 per Mk4 e Mk5, 1.5.0Q per il Q (se usi il ramo Edge servono le release Edge dedicate, non dare per scontato che un numero più alto significhi corretto). Genera il seed nuovo, annota e verifica il backup, l'impronta e un indirizzo di ricezione. Manda una transazione di prova piccola. Solo dopo sposti il resto. Il vecchio backup lo tieni finché la migrazione non è confermata.

Se il Mk2 o il Mk3 è il tuo unico dispositivo non ti serve comprarne uno nuovo: dopo l'aggiornamento genera correttamente. Devi però alternare vecchio e nuovo seed sullo stesso device, e lì gli errori si pagano cari, quindi segui la procedura passo passo che trovi nell'advisory di Coinkite e non andare a memoria.

Una nota di Coinkite che condivido: rimandare non è il rischio principale, la fretta sì. Una migrazione fatta di corsa può farti perdere i fondi più in fretta del bug.

Due avvertenze finali, e sono importanti.

Stanno già girando email e siti che promettono di "recuperare i tuoi fondi" o di "verificare se il tuo wallet è vulnerabile". Ne ho ricevuta una anche io, il giorno stesso, e ho un Coldcard che non ho mai nemmeno inizializzato. Sono truffe. Nessuno recupera niente. Non inserire mai il tuo seed in un sito o in uno strumento sconosciuto che dice di controllare se sei a rischio.

E quando generi il seed nuovo, tira i dadi. Non perché non ti fidi del prossimo dispositivo, ma perché è l'unica cosa che ti avrebbe salvato questa volta.

4. Se hai un altro hardware wallet

Respira. In questi giorni praticamente tutti i produttori hanno pubblicato una verifica. Trezor e Ledger non sono coinvolti, e Trezor ha spiegato che i suoi dispositivi usano un approccio diverso alla generazione dell'entropia. BitBox02 e BitBox02 Nova non sono coinvolti, e se il tuo seed è nato lì non devi fare assolutamente niente. Blockstream Jade non è coinvolto. Foundation ha rifatto la verifica sull'architettura di entropia del Passport dopo il caso e non ha trovato problemi. E anche in casa Coinkite, Tapsigner, Opendime e Satscard usano codice diverso e restano fuori.

Una cosa che noto leggendo le loro risposte: sia BitBox che Jade generano il seed mescolando più sorgenti di entropia indipendenti dentro la stessa funzione di hash, in modo che una singola sorgente debole non possa far collassare il risultato. Il Coldcard invece dipendeva da una sorgente sola, e quando quella è saltata è saltato tutto. È la lezione tecnica più utile di questa vicenda.

C'è però un'eccezione che rischia di fregare parecchia gente. Se il tuo seed è nato su un Coldcard difettoso e poi l'hai importato su un altro dispositivo, quel seed resta debole. BitBox e Foundation l'hanno messo nero su bianco. Il difetto sta nelle parole, non nella scatola: cambiare scatola non ripara niente. Se rientri in questo caso, per te vale tutto quello che ho scritto al punto 3, anche se oggi il Coldcard sta in un cassetto.

Detto questo, non buttiamola in caciara con il "quindi X è sicuro". La verità è più scomoda: nessuno di noi può verificare tutto. Il firmware Ledger non è completamente open source, quindi ti fidi delle certificazioni di terzi. Il firmware Coldcard era open source e leggibile da chiunque, e per cinque anni non se n'è accorto nessuno. Non è che l'open source non serve, serve eccome, ma non basta la possibilità teorica di verificare: serve che qualcuno verifichi davvero, e ora quel qualcuno sono anche i modelli AI, che lavorano sia per i buoni che per i cattivi.

Quindi no, non devi cambiare dispositivo. Ma questo è il momento buono per fare una di queste cose, che avresti dovuto valutare comunque:

Aggiungere una passphrase seria, con i criteri che ho scritto sopra. È lo strumento più sottovalutato che esista. In questa vicenda ha salvato dei wallet che avevano un seed matematicamente rotto. E il bello è che non deve essere una password impronunciabile: una frase lunga, tua, specifica, che non sia mai stata scritta o detta da nessuno prima, funziona benissimo ed è pure memorizzabile.

Oppure rigenerare il wallet da zero con i dadi, così l'entropia la controlli tu e non dipendi dal firmware di nessuno.

Oppure passare a un multisig, ma solo se hai capito bene cosa comporta. Il multisig non è per tutti e complicare non è sinonimo di migliorare. Tanti non sanno che in un 2 di 3, se perdi la terza chiave, non ti bastano le due che hai: senza la chiave pubblica del terzo firmatario non ricostruisci lo script e non recuperi niente. Il backup di un multisig è una cosa diversa e va progettata.

Quale di queste ha senso per te dipende dalle cifre, da chi sono i tuoi eredi, da quanto sei disposto a smanettare e da chi consideri il tuo avversario. Non c'è una risposta buona per tutti e diffida di chi te la dà.

Se vuoi che ne parliamo sul tuo caso specifico in consulenza, rispondi a questa email. Ci sediamo e valutiamo il tuo setup insieme.

5. È la fine della self custody?

La domanda me l'hanno fatta in tanti in questi giorni, spesso in una versione più cinica: "ma non è strano che succeda tutto adesso?"

Guarda, il complottismo facile non mi interessa. Questo è stato un errore umano in una riga di codice, e chi lo racconta come un attacco pilotato sta vendendo qualcosa.

Però le coincidenze le vedo anche io. Nel giro di pochi mesi: gli ETP e gli ETF che raccolgono miliardi con narrativa istituzionale, i servizi Lightning sotto pressione, e adesso il colpo più duro mai preso dall'autocustodia, arrivato proprio dal prodotto comprato per essere al sicuro. Nel frattempo i custodi istituzionali stanno usando la vicenda per promuovere i loro servizi. CZ ha subito commentato sui rischi della self custody. Il CEO di BitGo ha depositato 100 BTC su un indirizzo pubblico per dimostrare quanto è sicura la sua piattaforma.

Non serve un complotto per spiegarlo, basta la teoria dei giochi. A uno stato o a un regolatore conviene che i cittadini abbiano una moneta che non si può inflazionare, non si può confiscare e non si può fermare? No. E se un incidente spinge le persone verso strumenti dove qualcuno può congelare, bloccare, segnalare e tassare, nessuno andrà a fermarlo.

Poi c'è una cosa che va detta, perché in questi giorni ho letto troppa gente scappare verso l'exchange. Spostare tutto su un exchange non elimina il rischio, lo cambia di forma e ne aggiunge altri due. Primo, non sai come custodiscono: magari usavano Coldcard pure loro. Secondo, il rischio di solvibilità, e su questo FTX ha già insegnato tutto. Terzo, l'aspetto fiscale e regolamentare. La custodia professionale seria è un'altra cosa e per certe situazioni ha perfettamente senso, ma non è la risposta automatica al panico.

La mia posizione non cambia: sono per la self custody. Ma sarei disonesto se ti dicessi che è facile, o che basta comprare un dispositivo e sei a posto. Non è così, e chi te l'ha raccontato così (me compreso, quando ho semplificato troppo) ti ha fatto un torto.

L'hardware wallet non è il punto di arrivo della sicurezza. È un pezzo. Sopra ci vanno la passphrase, l'entropia che porti tu, un piano di backup che funzioni anche quando tu non ci sei, e la consapevolezza che il software è insicuro per natura e lo sarà sempre.

Il paragone che ha usato Francesco in live mi è rimasto in testa: questo è un incidente aereo, non un problema della meccanica del volo. Fa paura, cambierà i protocolli, renderà i sistemi più ridondanti, e tra due anni voleremo ancora. Bitcoin come protocollo non ha un graffio.

Solo che, per la prima volta, la vulnerabilità è arrivata dall'oggetto comprato apposta per evitare le vulnerabilità. E questo cambia il modo in cui dobbiamo pensare a tutto il resto.

Un abbraccio, Filippo