Un furto di criptovalute su vasta scala sta colpendo proprio quei dispositivi che dovrebbero garantire la massima sicurezza. Le società di monitoraggio blockchain hanno lanciato l’allarme su una serie di attacchi che stanno svuotando i cosiddetti hardware wallet offline, quei portafogli fisici pensati per tenere le monete digitali al riparo dagli hacker. Il bottino, al momento, supera i 130 milioni di dollari, circa 120 milioni di euro, e la cosa che fa più impressione è che le vittime avevano fatto tutto come si deve.
Come funziona l’attacco ai portafogli Coldcard
Nel mirino ci sono i possessori di Bitcoin che usano il wallet Coldcard, prodotto dall’azienda Coinkite. Secondo Galaxy Research, dietro questi furti ci sarebbe più di un gruppo, almeno una dozzina di hacker diversi, e per ora non è chiaro chi siano. La stima dei 130 milioni sottratti è stata confermata anche da Tom Robinson, cofondatore e chief scientist di Elliptic, un’altra società che tiene d’occhio i movimenti sulle blockchain.
La faccenda è particolarmente delicata perché un dispositivo come Coldcard nasce con l’idea opposta. Chi possiede Bitcoin può conservare la chiave segreta, la cosiddetta seed phrase, dentro un apparecchio che non si collega mai a internet. In pratica le monete restano sulla blockchain come tutte le altre, ma sono protette da una password che vive esclusivamente offline. Si parla infatti di wallet freddo, il famoso cold wallet, in contrapposizione ai portafogli caldi che invece stanno online, dentro le app, le estensioni del browser o gli account sugli exchange come Binance o Coinbase. Il problema è saltato fuori nel modo in cui questi dispositivi generavano le seed phrase degli utenti. Secondo i ricercatori di sicurezza di Block, quelle chiavi erano prevedibili. Una volta scoperto il difetto, agli hacker è bastato usare la forza bruta per ricostruire le seed phrase delle vittime. Detto in parole semplici, non hanno dovuto scassinare la cassaforte che custodiva le chiavi. Hanno capito come copiare le chiavi stesse, e farlo su larga scala.
Le vittime e la risposta di Coinkite
A colpire è il racconto di chi ci è rimasto dentro. Jonathan Goodman, che dice di essersi visto sottrarre 1,6 milioni di dollari dal suo Coldcard, ha scritto su X parole che raccontano bene la frustrazione. Non aveva mai condiviso la sua seed phrase con nessuno, i suoi dispositivi non avevano mai toccato internet, teneva tutto in più casseforti e cassette di sicurezza. Eppure non è servito a niente, tutto per una riga di codice del 2021 che nascondeva una vulnerabilità.
Questa vicenda si aggiunge a una lista già lunga. Nel corso di quest’anno, stando ai dati di TRM Labs, ci sono stati oltre 200 attacchi contro aziende del settore cripto, con perdite complessive che superano i 950 milioni di dollari, più o meno 880 milioni di euro. Un ritmo che non accenna a fermarsi. Coinkite ha pubblicato un avviso giovedì, poi aggiornato sabato, in cui informa gli utenti del difetto. L’azienda invita a aggiornare i dispositivi e a migrare verso una nuova seed phrase. Alla richiesta di un commento, per il momento, l’azienda non ha risposto.
