Milano, 7 agosto 2026 – Una falla informatica rimasta nascosta per quasi cinque anni ha messo in ginocchio migliaia di utenti Coldcard, uno dei principali hardware wallet per conservare i propri Bitcoin. Negli ultimi giorni è emerso che una vulnerabilità, introdotta nel 2021, ha permesso a hacker di scoprire e ricostruire le seed phrase – le sequenze segrete indispensabili per recuperare i fondi – mettendo così a rischio centinaia di milioni di euro. Il danno, confermato da fonti vicine a Coinkite, l’azienda canadese dietro il dispositivo, supera i 100 milioni di dollari in BTC trafugati o persi.
Coldcard nel mirino: una falla passata inosservata
Il problema, spiegano gli sviluppatori, nasce da un aggiornamento del firmware rilasciato nella primavera del 2021. Un errore nel generatore pseudo-casuale usato nella versione 4.0 del software ha reso parzialmente prevedibili le parole chiave assegnate agli utenti durante la configurazione. “All’inizio era impossibile accorgersene”, ha ammesso ieri Rodolfo Novak, fondatore di Coinkite, intervenuto su X (ex Twitter) subito dopo la notizia. “Solo dopo alcune segnalazioni di furti sistematici abbiamo capito che qualcosa non quadrava”.
La scoperta è arrivata a giugno grazie a un gruppo di ricercatori indipendenti esperti di sicurezza digitale, tra cui l’Open Bitcoin Privacy Project. Attraverso un’analisi retrospettiva delle transazioni on-chain e dei wallet coinvolti, il team ha individuato una serie di pattern sospetti nelle seed phrase generate tra maggio e dicembre 2021.
Oltre 100 milioni in Bitcoin svaniti: l’impatto sulle vittime
Secondo una stima diffusa ieri da Chainalysis, tra i maggiori osservatori blockchain, il valore sottratto supera i 100 milioni di dollari, distribuiti su circa 2.000 indirizzi Bitcoin collegati ai Coldcard difettosi. Molte vittime – utenti sparsi tra Europa, Stati Uniti e Asia – si sono accorte troppo tardi della compromissione. “Pensavo fosse uno scherzo o una truffa”, racconta Andrea G., imprenditore milanese che ha perso oltre 8 BTC custoditi da due anni sul suo dispositivo Coldcard.
Dalle ricostruzioni emerge che spesso i fondi sono stati prelevati a ondate, soprattutto nelle ore notturne in Europa quando la vigilanza cala. Gli hacker hanno sfruttato un algoritmo creato appositamente per tentare miliardi di combinazioni seed potenzialmente vulnerabili generate dal firmware con il bug.
Indagini internazionali e prime reazioni dal settore
Le autorità competenti – FBI e Polizia Postale italiana tra le principali – stanno lavorando insieme a Coinkite e alle piattaforme leader nell’analisi blockchain per tracciare i flussi di denaro digitale rubati. “La trasparenza della blockchain ci permette almeno di seguire il percorso dei fondi”, spiega Simone Mainardi, docente di cybersecurity all’Università Statale di Milano.
Nel frattempo Coinkite ha rilasciato un aggiornamento d’emergenza del firmware invitando tutti gli utenti a cambiare subito le proprie seed phrase e trasferire gli asset su portafogli nuovi e sicuri. L’azienda non ha ancora chiarito se ci saranno rimborsi o iniziative risarcitorie per chi ha subito perdite.
L’industria degli hardware wallet sotto pressione
Questo caso riapre il dibattito sulla sicurezza degli hardware wallet e sulla gestione delle seed phrase. Proprio Coldcard era stata scelta da molti come alternativa più sicura rispetto ai servizi online o agli exchange centralizzati: senza connessione diretta a Internet e progettato per isolare le chiavi private, era considerato un baluardo della sicurezza.
Eppure basta un errore nel software interno per buttare all’aria tutte le precauzioni. “La lezione è dura: fidarsi ma verificare sempre”, osserva il ricercatore olandese Bert Slagter, che in passato aveva già segnalato falle simili. Secondo lui e altri esperti nei prossimi mesi altri produttori potrebbero dover fare audit straordinari sui propri dispositivi.
Allarme anche in Italia: consigli per gli utenti
In Italia sarebbero almeno 300 i wallet coinvolti nella falla Coldcard, per un totale stimato vicino ai 10 milioni di euro in Bitcoin spariti. Le associazioni dei consumatori raccomandano “di non lasciare mai grosse somme su un unico dispositivo” e preferire soluzioni con doppio controllo. “Siamo rimasti scioccati dalla rapidità con cui sono scomparsi i fondi”, racconta Riccardo S., consulente IT romano.
Il caso Coldcard ci ricorda che nel mondo crypto nessuna tecnologia è infallibile. Per ora l’unica arma resta la prudenza – sempre alta e senza distrazioni.