Aggiornato all’8 settembre 2026. Le istruzioni dipendono dal modello, dal firmware e dal momento in cui è stata generata la seed.
Coldcard hackerato è una ricerca che richiede una risposta operativa: aggiornare il dispositivo non rende sicura una seed già generata con firmware vulnerabile. La pagina ufficiale di sicurezza Coldcard indica agli utenti interessati di migrare verso una seed nuova, creata con una versione raccomandata e con una fonte aggiuntiva di entropia.
Il rischio non si risolve cancellando l’app, cambiando PIN o installando soltanto l’ultimo firmware. Se la seed originaria è prevedibile, un attaccante può ricostruire le chiavi e firmare transazioni senza possedere fisicamente il wallet. La priorità è spostare i fondi prima di riutilizzare il vecchio segreto.
Coldcard hackerato: chi deve controllare il proprio wallet
La comunicazione ufficiale include Mk4, Mk5 e Q nel percorso di verifica e non considera automaticamente sicuri i modelli più recenti. Per Mk2 e Mk3 indica la versione finale disponibile e raccomanda di valutare un dispositivo corrente per la conservazione a lungo termine. Il punto decisivo resta come e quando è stata generata la seed.
Chi ha creato una seed con firmware interessato dovrebbe trattarla come potenzialmente esposta, anche se il dispositivo è sempre rimasto offline. Un hardware wallet isola normalmente le chiavi, ma non può correggere retroattivamente una casualità debole usata nel momento della creazione.
Le seed importate da un’altra fonte richiedono una valutazione diversa. Non basta però ricordare vagamente di aver usato dei dadi: la pagina ufficiale distingue il flusso standard, l’opzione “Dice Rolls Only” e condizioni precise. Prima di concludere di essere esclusi, bisogna ricostruire procedura e versione effettivamente utilizzate.
Perché l’aggiornamento del firmware non basta
Un aggiornamento corregge il comportamento futuro del dispositivo. Non cambia le parole già annotate né tutte le chiavi derivate da quelle parole. Questa differenza è la stessa tra riparare un generatore di password e sostituire le password create quando il generatore era difettoso.
La nostra guida su seed phrase e custodia spiega perché tutte le chiavi di un wallet derivano da quel segreto. Installare il firmware corretto sul vecchio dispositivo può essere parte della procedura, ma i bitcoin devono infine raggiungere indirizzi derivati da una seed indipendente e affidabile.
La sequenza prudente per migrare i Bitcoin
Prima si prepara un ambiente pulito e si installa una versione raccomandata verificandone firma e hash secondo le istruzioni del produttore. Poi si genera una nuova seed seguendo il percorso aggiornato: Coldcard richiede, nel flusso standard indicato, una fonte utente tra pressioni di tasti, lanci di dadi o monete.
Il backup va scritto e controllato offline. Prima di trasferire una somma importante è utile verificare fingerprint, indirizzo di ricezione e recupero della nuova configurazione. Una transazione di prova riduce il rischio operativo, ma lascia il vecchio saldo esposto più a lungo: tempi e importi vanno scelti senza improvvisare.
Dopo la prova si trasferisce il saldo verso indirizzi del nuovo wallet. Non bisogna “importare” la vecchia seed nel dispositivo aggiornato e considerare conclusa la migrazione: in quel caso gli indirizzi e il segreto restano quelli vulnerabili.
Passphrase e nuovo dispositivo: cosa risolvono davvero
La passphrase BIP-39 crea un wallet distinto e, se forte e mai esposta, può aggiungere una barriera importante. Coldcard la raccomanda per somme la cui perdita sarebbe materialmente dannosa. Deve essere salvata separatamente, con fingerprint verificato e una prova di recupero.
Non va però aggiunta alla vecchia configurazione senza comprendere il risultato. Una passphrase debole o già usata può essere indovinata; una passphrase forte ma persa rende i fondi irrecuperabili. La guida al momento in cui serve davvero un hardware wallet aiuta a progettare custodia e backup come un sistema, non come un singolo oggetto.
Comprare un nuovo dispositivo non ripara automaticamente una seed che vi viene importata. La nuova sicurezza nasce da un nuovo segreto generato correttamente, da un software verificato e da una procedura di trasferimento controllata.
Cosa mostrano le indagini sui fondi rubati
Galaxy Research ha riferito di oltre 1.700 BTC sottratti con elevata confidenza e di più attori presenti nell’ambiente di minaccia. L’assenza di una nuova ondata osservata non dimostra che ogni seed vulnerabile sia ormai al sicuro.
Il tracker Bitquery riportava il 7 settembre nuovi movimenti di fondi già rubati verso CoinJoin. Muovere o mescolare monete sottratte è diverso da compromettere nuovi wallet: le due timeline non vanno fuse per creare un allarme inesatto.
Truffe di recupero da evitare
Nessun ricercatore o assistente deve ricevere seed phrase, passphrase o file di backup per “verificare” se il wallet è vulnerabile. Non inviare bitcoin a un indirizzo suggerito in un messaggio privato e non installare firmware ricevuto via chat o pubblicità.
Chi ha subito una perdita dovrebbe conservare transaction ID, indirizzi, versione del dispositivo, ricevute e cronologia degli aggiornamenti senza pubblicare segreti. Una segnalazione documentata a produttore e autorità può aiutare; non garantisce però il recupero di transazioni Bitcoin confermate.
| Azione | Effetto reale |
|---|---|
| Aggiornare il firmware | Corregge la generazione futura, non la vecchia seed |
| Cambiare PIN | Protegge l’accesso locale, non sostituisce le chiavi |
| Creare una nuova seed | Genera un nuovo insieme di chiavi |
| Trasferire i bitcoin | Porta i fondi fuori dagli indirizzi esposti |
La risposta a “Coldcard hackerato, cosa fare” non è quindi acquistare in fretta un altro oggetto. È identificare la provenienza della seed, preparare e verificare un wallet nuovo, trasferire i fondi e abbandonare gli indirizzi derivati dal segreto vulnerabile. Ogni passaggio deve seguire la documentazione aggiornata, senza consegnare le chiavi a terzi.
