Maxi furto di bitcoin, vacilla il mito del portafoglio offline

Un attacco ai portafogli hardware Coldcard, prodotti dalla società canadese Coinkite, ha sottratto circa 1600 bitcoin da poco più di 7300 indirizzi. Il valore supera i cento milioni di dollari, e si tratta di uno dei più gravi episodi mai registrati nella custodia autonoma di criptovalute.

Gli autori hanno sfruttato una vulnerabilità vecchia di cinque anni nel processo di generazione delle chiavi di sicurezza.

Il colpo tocca la parte del settore considerata più solida. I dispositivi cosiddetti a freddo custodiscono le chiavi private fuori rete, senza connessione a internet, e per questo erano ritenuti la soluzione più affidabile rispetto ai portafogli sempre connessi o alle piattaforme di scambio.

Il protocollo non c'entra

Dominic Weibel, responsabile della ricerca presso Bitcoin Suisse, con sede a Zugo, ha spiegato all'agenzia AWP che la custodia a freddo è stata a lungo considerata una specie di panacea, soprattutto dopo che il crollo di FTX aveva messo in evidenza i rischi di controparte legati alla custodia centralizzata.

L'attacco non ha però riguardato il protocollo Bitcoin. Ha sfruttato un difetto specifico nella creazione delle frasi di recupero per alcune versioni del firmware. Il sistema usava una quantità insufficiente di casualità, e questo ha permesso di ricostruire le chiavi sottostanti senza accedere fisicamente ai dispositivi e senza ricorrere a manipolazioni psicologiche.

Secondo Weibel un portafoglio hardware è sicuro quanto lo sono il suo firmware, la generazione delle chiavi e i processi che vi stanno dietro. Non risultano indizi che la stessa debolezza esista presso altri produttori, ma il ricercatore mette in guardia dal considerare l'episodio marginale.

L'effetto immediato è di natura psicologica. Il caso può incrinare per un certo periodo la fiducia nella custodia autonoma, senza però rendere obsoleti i dispositivi in linea di principio.

Nessuna soluzione di custodia è del tutto priva di rischio, e in questo il bitcoin non differisce da altre classi di attivi. La strategia più solida, secondo Weibel, combina custodia autonoma, custodia gestita da professionisti e più protezioni indipendenti fra loro.

L'avvertimento finale riguarda il futuro. Gli strumenti basati sull'intelligenza artificiale rendono la ricerca di vulnerabilità molto più rapida ed economica, e questo sposta il vantaggio verso chi cerca i difetti piuttosto che verso chi li corregge.