Post

Anche i cold wallet non sono più sicuri: vulnerabilità del firmware Coldcard, attacco alla supply chain di Ledger—i tuoi BTC ti appartengono davvero? Hai speso 1000 yuan per un cold wallet, pensando che i tuoi asset fossero al sicuro. In un anno, due eventi ti hanno dimostrato che anche un cold wallet può essere una bomba a orologeria. La prima bomba: Coldcard, non hai mai toccato il dispositivo, ma i soldi sono spariti. Nel marzo 2021, il produttore canadese di hardware wallet Coinkite ha introdotto una falla fatale nel firmware di Coldcard: durante la generazione della frase mnemonica, il dispositivo non ha utilizzato il vero chip hardware di numeri casuali, ma un generatore di numeri pseudo-casuali software. In parole semplici, quello che pensavi fosse "casuale" in realtà non lo era. L'attaccante non ha bisogno di toccare il tuo dispositivo, né di connetterti a internet, può matematicamente calcolare in massa la tua frase mnemonica. Il primo attacco è avvenuto il 30 luglio 2026. In 25 minuti, circa 594 BTC sono spariti da 500 indirizzi. Era solo l'inizio. Sono seguite almeno altre tre ondate di attacchi, con oltre 1.816 BTC trasferiti da più di 5.200 indirizzi, per una perdita stimata tra 114 e 116 milioni di dollari. Un utente ha detto che il suo Coldcard non è mai stato connesso a internet, la frase mnemonica non è mai stata divulgata, eppure i suoi asset sono stati rubati. La risposta ufficiale di Coinkite è stata una sola frase: tutte le frasi mnemoniche generate dal marzo 2021 in poi devono essere considerate potenzialmente compromesse. Aggiornare il firmware non serve: le frasi già generate non saranno mai sicure, devi crearne di nuove e trasferire gli asset. La seconda bomba: Ledger, il dispositivo che hai comprato dal rivenditore potrebbe essere stato manomesso. Il 9 ottobre, gli utenti Ledger hanno subito un furto di massa, con perdite superiori a 86 milioni di dollari, coinvolgendo centinaia di wallet su Ethereum, TRON, Bitcoin e altre blockchain. Le vittime avevano un elemento in comune: avevano acquistato i dispositivi tramite il rivenditore CryptoBilis nel Sud-est asiatico. L'ex CEO di Mt. Gox, Mark Karpelès, ha aperto un Ledger proveniente dalla Malesia e ha scoperto una scheda elettronica aggiuntiva con modulo LTE e eSIM nascosta all'interno. Questa scheda può leggere i segnali inviati allo schermo, intercettare la frase mnemonica durante l'inizializzazione del dispositivo e trasmetterla tramite rete mobile. Pensavi fosse un "rivenditore autorizzato ufficiale", ma il dispositivo è stato smontato, modificato e manomesso fin dal momento della produzione. Un segnale ancora più preoccupante è che le ipotesi di sicurezza dell'intera infrastruttura DeFi stanno venendo smantellate una dopo l'altra. Balancer ha subito un furto da 128 milioni di dollari, Kelp DAO 292 milioni, Stream Finance ha visto il suo stablecoin sintetico xUSD perdere il peg, e il valore totale bloccato di Aave è sceso da 26 miliardi a 14,2 miliardi in 5 giorni. Dai protocolli di prestito agli stablecoin sintetici, dagli exchange ai wallet hardware personali—ogni anello che pensavi fosse "sicuro" ha avuto problemi quest'anno. Cosa fare? Tre cose, da fare oggi. Primo, compra hardware wallet solo tramite canali ufficiali. Non cercare il risparmio passando per rivenditori, non comprare da terzi. L'evento Ledger ti ha già mostrato che l'attacco alla supply chain si nasconde dietro le parole "rivenditore autorizzato". Secondo, utenti Coldcard controllate subito. Se avete generato una frase mnemonica su Coldcard dopo marzo 2021, create un nuovo wallet e trasferite gli asset oggi stesso. Le vecchie frasi mnemoniche non sono mai sicure. Terzo, per grandi somme usate multisig. I wallet a firma singola sono il principale bersaglio degli attacchi a Coldcard. Usate multisig 2-su-3 con Trezor Safe 7, Ledger Nano e Casa per le chiavi di recupero: se un dispositivo ha problemi, i vostri asset restano al sicuro. Non mettere tutte le uova in un solo paniere—e non affidate la chiave privata a un solo dispositivo. 1011 ci ha insegnato che la leva finanziaria può uccidere. Quest'anno ci ha insegnato che anche un cold wallet può tradirti. In questo mercato, il solo nemico della sicurezza è la tua fortuna. $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入