Italian Crypto Club [ ICC ]

🚨 Attenzione se usate Coldcard Nelle ultime ore sono emerse segnalazioni di wallet Coldcard svuotati. L’analisi del firmware ha individuato un problema nella generazione dell’entropia, poi confermato da un advisory di Coinkite. 🌟 Cosa è successo Quando create un wallet, il dispositivo genera la casualità da cui deriva il seed. Se questa casualità è prevedibile, anche il seed può diventarlo. A causa di un errore di compilazione, alcune versioni del firmware Coldcard non usavano correttamente il generatore hardware. Il sistema ripiegava su un generatore software alimentato da valori fissi o ricostruibili, come il numero di serie del chip e alcuni orologi interni. 🌟 Quali modelli sono coinvolti Mk2 e Mk3 con firmware 4.0.1 o successivo rappresentano il caso più grave: il seed veniva generato senza entropia crittografica e risultava, di fatto, deterministico. Mk4, Q e Mk5 includono una correzione introdotta nel 2022, ma ricevono dal generatore soltanto 4 byte di entropia. Lo spazio di ricerca è quindi pari a 2³², alla portata di hardware specializzato. Coinkite dichiara questi modelli non vulnerabili, mentre Block sostiene il contrario. In attesa di una revisione tecnica completa, tratterei anche questi seed come potenzialmente non sicuri. Conta il firmware usato per generare il seed, non la data di acquisto del dispositivo. Aggiornare oggi non mette al sicuro un seed già creato. Lo stesso vale se quel seed è stato importato su un altro wallet. 🌟 Chi è meno esposto - Chi ha generato il seed con i dadi, perché questo metodo non dipende dal generatore del dispositivo. - Chi ha usato una passphrase BIP39 davvero forte. Il rischio si riduce molto, ma migrare resta una precauzione sensata. - Chi ha creato il seed su un altro dispositivo. - Chi usa un multisig, purché le chiavi potenzialmente compromesse non siano sufficienti a raggiungere il quorum. ⚠️ Se dovete migrare, fatelo con calma La fretta può causare più danni del bug. Generate un nuovo seed e verificate il backup prima di spostare i fondi. Controllate l’indirizzo di ricezione sullo schermo del dispositivo, non soltanto sul computer. Inviate prima una piccola transazione di prova e aspettate la conferma. Solo dopo trasferite il resto. Conservate il vecchio backup finché tutte le transazioni non sono state confermate. 🎲 Il consiglio resta lo stesso Generate il seed con i dadi. In questo modo l’entropia dipende da voi, non dal firmware o dall’hardware scelto dal produttore.