Caso Coldcard, Zucco: «Il sistema Bitcoin ne uscirà ancora più solido»

Per anni è stato considerato uno dei dispositivi più sicuri in circolazione. Poi, il 30 luglio scorso, in poco più di venti minuti sono spariti circa 594 Bitcoin dai wallet di centinaia di utenti. Era l'inizio del cosiddetto "caso Coldcard": un errore introdotto cinque anni fa nel software del portafoglio hardware prodotto dalla canadese Coinkite, rimasto invisibile fino a quando qualcuno non l'ha scovato e sfruttato. Le stime sono ancora provvisorie e in movimento - la società di analisi Galaxy Research parlava, all'inizio di agosto, di perdite tracciate vicine ai 130 milioni di dollari e di almeno quindici attaccanti distinti - ma il colpo è già tra i più gravi mai subiti da chi custodisce i propri Bitcoin in autonomia. Un episodio che ha scosso l'ecosistema e riacceso vecchi dibattiti sull'autocustodia, o self-custody. Ne abbiamo parlato con Giacomo Zucco, noto divulgatore e membro della Fondazione Plan ₿, che ci ha aiutato a distinguere i fatti dalle interpretazioni e ad acquisire una precisa fotografia delle dinamiche - e dei possibili risvolti - di una vicenda che ha già generato un dibattito molto profondo nella comunità Bitcoin.

Partiamo dalle basi, per chi ha letto i titoli sui giornali senza capirci molto: cos'è successo esattamente con Coldcard e com'è stato possibile sottrarre oltre cento milioni di dollari in Bitcoin da wallet che molti consideravano tra i più sicuri in circolazione?

«Esatto, nessuna violazione di Bitcoin in quanto tale. Bitcoin funziona tramite coppie di chiavi: le chiavi segrete sono numeri casuali che solo l’utente singolo deve conoscere, e funzionano come una sorta di “password” (spesso salvato sotto forma di 12 parole in lingua inglese) per spostare valore tra diverse corrispondenti chiavi pubbliche, che sono una sorta di “indirizzo”. L’errore di cui sopra faceva sì che la chiave segreta generata dal dispositivo non fosse davvero casuale, come doveva essere, ma “deterministica”: leggendo bene il software era possibile ricreare a tentativi tutte le chiavi generate. L’attaccante, con poco sforzo (probabilmente poco più di un laptop comune) è riuscito a ri-generare le chiavi di centinaia di utenti ignari, da remoto, senza avere accesso ai loro dispositivi».

Il punto forse più interessante è che aggiornare il dispositivo non mette al sicuro un portafoglio già coinvolto, e che nemmeno spostare le stesse parole di recupero su un altro portafoglio serve a qualcosa. Come mai?

«Un cosiddetto “hardware wallet” ha due funzioni: generare chiavi segrete che siano davvero casuali ed imprevedibili, e poi tenerle al sicuro mentre vengono usate per firmare digitalmente transazioni Bitcoin tra chiavi pubbliche. Coldcard, con quell’aggiornamento di 5 anni fa, ha fallito nella prima funzione, non nella seconda (tant’è che gli utenti che hanno generato da soli la propria chiave segreta, ad esempio con dadi o carte da gioco, per poi inserirla nella ColdCard, non hanno subito alcun impatto). Ma quando la prima funzione fallisce, quella chiave segreta può essere dedotta dall’esterno: non è più sicura. Importarla su un altro dispositivo utilizza solo la seconda funzione di quest’ultimo, ma non mette al riparo dal fallimento della prima: la chiave non è imprevedibile e casuale. Lo stesso vale nel caso di riutilizzo della stessa chiave segreta sullo stesso dispositivo con la vulnerabilità risolta. Occorre spostare i fondi su chiavi pubbliche generate da nuove chiavi segrete».

Il caso ha rilanciato un dibattito antico: c'è chi sostiene che episodi come questo dimostrino i limiti dell'autocustodia e chi ribatte che è vero l'esatto contrario. Tu da che parte stai?

«Decisamente dalla seconda. Le perdite finanziarie registrate negli anni su exchange o controparti centrali fiduciarie sono di ordini di grandezza più frequenti e imponenti degli episodi di fallimento dell’autocustodia. Questi ultimi hanno un impatto psicologico ed emotivo più forte, perché gli utenti impattati sentivano “di avere fatto tutto bene”, e si sentono quasi “puniti per aver fatto lo sforzo”. Ma se si analizza la questione in modo razionale e non emotivo, i pur numerosi e frequenti fallimenti dell’autocustodia impallidiscono fino a svanire in confronto a quelli delle terze parti fidate: a partire da casi storici di attacchi informatici, riserva frazionaria e truffa, come Bitcoinica ed MtGox, fino a casi più recenti come FTX, Celsius, Blockfi, etc. Senza dimenticare le perdite finanziarie date da censura politica, congelamenti e confische, come nei conti “Bitcoin” (ma non autocustoditi) dei camionisti canadesi che protestavano contro gli obblighi vaccinali. E si dimentica spesso i casi in cui l’autocustodia ha impedito il fallimento, come nel caso di WikiLeaks, i cui conti sono stati confiscati durante l’attacco del governo statunitense a quel tipo di giornalismo di inchiesta, ma le cui chiavi Bitcoin hanno permesso di continuare l’operatività».

In un panel dello scorso Plan ₿ Forum di Lugano si diceva che, superata la soglia dell'autocustodia, il nemico principale non è più il ladro ma l'utente stesso, perché si perdono più Bitcoin per errore di quanti se ne facciano rubare. Questa vicenda ribalta quella lettura o la conferma?

«La ribalta un po’, nel senso che, tra smarrimento e furto, in genere si diceva che il primo fosse più comune, e che le preoccupazioni per il secondo fossero esagerate. Gli ultimi mesi, anche “grazie” agli LLM / AI specializzate, hanno un po’ prodotto l’inversione di questa tendenza. Non solo questo è confermato dall’episodio ColdCard, ma anche da quello BTCPayServer: il più diffuso sistema “PoS” Bitcoin open source, usato anche da società come Tesla e dalle “macchinette azzurre” presenti a Lugano: una vulnerabilità è stata trovata settimana scorsa, e chiusa velocemente, con perdite modeste. O ancora: importanti servizi come Boltz hanno sospeso l’attività a causa di attacchi subiti. Senza iperboli e allarmismi, credo si possa dire che siamo in una nuova fase della storia della sicurezza informatica. Questo non impatta solo Bitcoin, ovviamente: stiamo vedendo e vedremo l’intensificarsi di attacchi condotti mediante LLM».

Che cosa dovrebbe fare, concretamente, chi in questi giorni si è accorto di avere un dispositivo coinvolto? E chi, ancora, dopo questa vicenda ha iniziato a dubitare della sicurezza del proprio sistema di custodia?

«Chi usasse un Coldcard in modalità “firma singola” (cioè non in “multi-firma” insieme ad altri dispositivi diversi) e avesse generato la chiave segreta usando la funzione nativa del dispositivo (cioè non inserendola dall’esterno, dopo averla generata “a mano” o su altri dispositivi non coinvolti), deve immediatamente spostare i fondi su un nuovo portafoglio Bitcoin (la modalità “multi firma” tra dispositivi diversi rimane sempre consigliabile come pratica ideale per cifre importanti, ma l’urgenza della situazione giustifica anche l’utilizzo provvisorio di una semplice app mobile di un wallet o un exchange, per poi passare a qualcosa di più sicuro). Chi ha iniziato a dubitare del proprio sistema di custodia può usare questa crisi come una “sveglia” per rivedere, approfondire, testare, studiare, evolvere e migliorare».

Coinkite ha pubblicato l'analisi tecnica del proprio errore nel giro di poche ore, corretto il firmware in due giorni e distrutto le scorte di magazzino. Come giudichi la gestione dell'incidente, e quanto ha pesato il fatto che si trattasse di un progetto a codice aperto?

Purtroppo non molto positivamente. Appena la vulnerabilità è stata segnalata su X dall’esperto di sicurezza Kevin Loaec (peraltro creatore del wallet Liana che citavo poco sopra, nonché docente e mentor della Plan B Summer School di Lugano), il CEO di Coinkite ha subito perentoriamente risposto che si trattava di un falso allarme. Nessuna formula dubitativa: smentita totale. Molti utenti si sono fidati e hanno perso soldi in quelle ore, quando era ancora possibile salvarli. Successivamente, la prima analisi tecnica confermava come impattati, di nuovo perentoriamente, solo i device ColdCard “Mk3”, mentre è poi risultato che anche anche i più recenti Coldcard “Mk4” e “Q” soffrivano di una forma ridotta, ma comunque rilevante, della vulnerabilità (in pratica su questi ultimi le chiavi generate di default richiedono più potere computazionale per essere ricavate dall’esterno, ma rimane possibile, e sta avvenendo). Il tuo accenno al codice aperto è anch’esso molto rilevante: nelle analisi dell’incidente Coinkite ha menzionato il pericolo dei nuovi LLM (vero), ma ha omesso di riconoscere che la vulnerabilità è stata introdotta nel tentativo di rendere il codice “meno aperto” (cioè passare da open source puro a “codice visibile” con clausole commerciali), passando da librerie consolidate e usate da tutti a nuovo codice “fatto in casa”, e che proprio la chiusura della licenza potrebbe aver scoraggiato altri sviluppatori dal rivedere e controllare il nuovo codice».

L'azienda ha reso noto di aver condotto, poche settimane prima, una revisione del proprio codice assistita dall'intelligenza artificiale che non aveva individuato la falla, e ha ipotizzato che gli attaccanti possano invece averla trovata proprio grazie all'IA. Ipotesi non dimostrata, ma che apre uno scenario inedito: cosa ne pensi?

«Come dicevo, la tempistica è sospetta: il rilascio di Kimi K3 corrisponde a una vasta ondata di attacchi basati su vecchie vulnerabilità rimaste per anni “nascoste in piena vista”. Non è una certezza, ma è un’ipotesi molto fondata. Ovviamente questi modelli non sono esperti di informatica umana: sono motori di associazione probabilistica, molto soggetti a inventare, ad avere “allucinazioni” e molto imprevedibili nei loro risultati, che velocizzano e rendono meno costoso il processo di tentativi ed errori. Ritengo perfettamente possibile che un modello non avesse trovato nulla pochi giorni prima, e che un altro modello, magari con un prompt leggermente diverso, abbia trovato qualcosa».

Guardando avanti, qual è secondo te l'eredità più importante del caso Coldcard? L'ecosistema Bitcoin ne uscirà più solido, più fragile o semplicemente più consapevole?

«Sono sicuro che l’ecosistema Bitcoin ne uscirà più solido e consapevole. La fragilità che abbiamo così traumaticamente scoperto esisteva già, ora il sistema sta reagendo nel rimuoverla. Questo vale sia per il codice che per le abitudini degli utenti. Direi che le lezioni principali sono diverse. Una è che, per grosse cifre, i sistemi “multi firma” sono molto meglio di affidarsi a un solo produttore, per quanto forte sia il suo brand; così come non bisogna trattare con sufficienza processi spesso considerati “da paranoici”, come quello di generare le chiavi esternamente al dispositivo con carte da gioco (che peraltro a Lugano insegnamo da anni, gratuitamente, sia alle “Sbam academy” del Lunedì sera che ai workshop dello “Spazio 21” in corrispondenza del Plan ₿ Forum).

Un’altra è che il codice aperto deve essere veramente tale, per garantire sicurezza: riscrivere librerie in fretta e furia per poter “chiudere” la licenza è stato, in questo caso, l’errore fondamentale. Più in generale, una buona lezione da tenere a mente è che non si può sempre facilmente delegare funzioni fondamentali a qualcuno, sperando in bene: così come gran parte della popolazione mondiale ha imparato a leggere, scrivere e far di conto, un minimo di formazione ed auto-formazione nel campo della sicurezza informatica sarà necessario, per quanto faticoso, anche per i “non smanettoni”».