Due fork e una vulnerabilità di sicurezza: Il Bitcoin entra in una zona di turbolenze

Il cold storage, a lungo presentato come l'ultima barriera contro l'hacking, ha appena subito uno dei suoi colpi più duri. Una vulnerabilità software critica che colpisce i portafogli Coldcard ha permesso il furto di decine di milioni di dollari in bitcoin, riaccendendo le domande sui limiti della custodia autonoma. Questo caso emerge mentre il mercato esce da un luglio in crescita del 7,36%, sotto la pressione di ritiri istituzionali massicci e in vista di due importanti evoluzioni protocollari attese per agosto.

In breve

• Una vulnerabilità di sicurezza vecchia di 5 anni ha permesso il furto di 1.082,65 BTC (~70 milioni $) su 1.196 indirizzi in soli 41 minuti.
• Aggiornare il firmware Coinkite non è sufficiente. Gli utenti colpiti devono assolutamente generare una nuova frase di recupero e migrare i loro fondi.
• Il fondatore di Binance raccomanda di diversificare i propri portafogli fisici, ricordando che nessuno strumento di archiviazione è infallibile al 100%.
• Il mercato si prepara a affrontare due scadenze chiave: il voto dei miner sul soft fork BIP-110 (7 agosto) e la potenziale scissione verso eCash (21 agosto).

Un attacco coordinato che colpisce una vulnerabilità di cinque anni

Il 30 luglio, mentre il mercato crypto entrava in una fase di concentrazione senza precedenti, l'ecosistema della custodia autonoma è stato colpito da un'operazione malevola. Una vulnerabilità critica nel generatore di entropia pseudo-casuale del firmware dei portafogli hardware Coldcard, in particolare i modelli Mk3 il cui codice risale a marzo 2021, è stata sfruttata su larga scala. I fatti di questo attacco si stabiliscono come segue:

• Il volume rubato: un furto di 1.082,65 BTC da 1.196 indirizzi distinti secondo l'analisi di Galaxy Research;
• La velocità di esecuzione: l'intero dirottamento si è svolto in soli 41 minuti;
• Un'impronta on-chain: l'uso di commissioni fisse di 30 sat/vB senza indirizzo di restituzione, mirando esclusivamente ai portafogli a firma singola;
• L'origine tecnica: la vulnerabilità consentiva la ricostruzione offline delle chiavi private a partire dal numero di serie del componente e da dati di timestamp prevedibili.

Di fronte all'ampiezza delle rivelazioni e all'aumento dei trasferimenti sospetti verso le piattaforme di scambio, l'editore Coinkite ha urgentemente rilasciato una patch software destinata a correggere il firmware dei suoi dispositivi. Tuttavia, l'azienda ha emesso un avviso rigoroso ai suoi utenti, sottolineando che un semplice aggiornamento del firmware risulta totalmente inefficace per ripulire una frase di recupero creata prima della patch.

Infatti, una volta che una frase mnemonica è stata generata da un algoritmo difettoso, la sua struttura rimane leggibile e vulnerabile indipendentemente dallo stato successivo dell'hardware. I team tecnici quindi esortano gli utenti interessati a generare una nuova sequenza mnemonica su un dispositivo precedentemente aggiornato, e poi a trasferire integralmente i loro attivi verso questi nuovi indirizzi, concretizzando l'unica misura operativa in grado di neutralizzare definitivamente il rischio di saccheggio.

L'avvertimento di Changpeng Zhao e la revisione delle strategie di archiviazione del bitcoin

Questa vulnerabilità ha rapidamente fatto reagire le figure di spicco dell'industria crypto, a cominciare dal fondatore di Binance, Changpeng Zhao (CZ). Parlando sulla rete sociale X per commentare questo incidente di grande portata, l'ex dirigente ha chiamato a una profonda rivalutazione dei metodi di conservazione. Ha dichiarato: << anche i portafogli hardware possono presentare bug. Anche i portafogli più vecchi (utilizzati da tempo) non sono al sicuro. Come ridurre i rischi? Forse distribuendo i vostri fondi su più portafogli? Questo comporta un altro insieme di rischi. Niente è sicuro al 100%. Rimanete informati, rimanete al sicuro! >>.

Questo intervento riporta al centro delle discussioni la strategia di diversificazione dei supporti hardware, incitando i detentori di capitali a distribuire i propri attivi tra diversi produttori e architetture distinte. Se questo approccio consente di frammentare l'esposizione ai rischi software di un singolo produttore, introduce al contempo una complessità maggiore nella gestione operativa delle chiavi e rafforza l'interesse per strutture multi-firma complesse combinate con un'entropia generata fisicamente.

La scoperta di queste vulnerabilità strutturali costringe gli investitori individuali e istituzionali a ripensare l'architettura del loro dispositivo di stoccaggio. Pertanto, l'uso di wallet a firma unica appare ora come una vulnerabilità principale in caso di fallimento di un singolo produttore. L'industria si sta orientando progressivamente verso la generalizzazione di configurazioni multi-firma che associano dispositivi di marche diverse, riducendo così il rischio di un punto di fallimento unico. Inoltre, le procedure di generazione di entropia basate su estrazioni fisiche (come il lancio di dadi) si impongono come una buona pratica essenziale per evitare eventuali bias algoritmici futuri nei microprogrammi.

I prelievi istituzionali e la compressione del prezzo

Questa crisi di fiducia a livello di conservazione si verifica in un contesto di mercato già indebolito da un deterioramento degli indicatori finanziari. Il prezzo del bitcoin oscilla in una zona di incertezza tra 62.300 e 63.100 dollari, testando il supporto critico dei 62.000 dollari mentre l'indice Crypto Fear and Greed affonda nella zona di << paura >> a 27 punti. Questa debolezza è accentuata da uscite nette per un totale di 265 milioni di dollari registrate il 31 luglio sugli ETF Spot americani, trainate da movimenti di disimpegno sui fondi IBIT di BlackRock, FBTC di Fidelity e GBTC di Grayscale, mentre l'interesse aperto sui derivati rimane stabile intorno ai 48 miliardi di dollari.

Parallelamente, due eventi distinti polarizzano l'attenzione degli investitori per questo mese di agosto. Da un lato, l'inizio della segnalazione delle società di mining previsto intorno al 7 agosto (vicino al blocco 961.632) per il soft fork BIP-110 volto a limitare i dati non finanziari registrati sulla catena. L'assenza di un massiccio supporto da parte degli attori del mining fa temere rischi di scissione della catena. Dall'altro lato, la preparazione di un hard fork avviato da Paul Sztorc intorno al 21 agosto per creare la catena eCash, una rete speculare che attribuisce nuovi token ai detentori di bitcoin a condizione del supporto delle piattaforme centralizzate e dei depositari.

L'intreccio di una vulnerabilità hardware significativa e di scadenze tecniche contestate segna un punto di svolta critico per la maturità della rete Bitcoin. A breve termine, la capacità del mercato di assorbire le ripercussioni di questa vulnerabilità dipenderà dalla rapidità con cui gli investitori garantiranno le loro chiavi e dal potenziale ritorno dei flussi di acquisto istituzionali sugli ETF.