Il modo corretto per creare una frase di avvio dopo l'errore Coldcard

Avvertenza a scopo didattico: questo articolo illustra i principi generali della casualità crittografica e della sicurezza dell'autocustodia. Non costituisce consulenza finanziaria o di sicurezza per alcun dispositivo specifico e non sostituisce le istruzioni ufficiali del wallet . Verificare sempre le istruzioni con la documentazione aggiornata dell'hardware in proprio possesso.

Introduzione

Nel luglio 2026, un bug del firmware ha silenziosamente confermato qualcosa che l'industria delle criptovalute sosteneva da anni senza però crederci del tutto: un wallet hardware non è una scatola magica che garantisce la sicurezza. È un dispositivo che esegue del codice, e il codice può essere errato. Coldcard di Coinkite, a lungo pubblicizzata come una delle opzioni più sicure per la custodia autonoma di Bitcoin, ha rilasciato una versione del firmware nel marzo 2021 che indirizzava la generazione del seed attraverso un debole generatore di numeri casuali software anziché la sorgente di entropia hardware dedicata del dispositivo. Nessuno se n'è accorto per cinque anni. Poi, in pochi giorni tra la fine di luglio e l'inizio di agosto 2026, degli hacker hanno sottratto ben oltre 100 milioni di dollari da walleti cui seed non erano mai stati realmente casuali.

La lezione non è che wallethardware siano insicuri. È che la qualità della tua frase di recupero dipende da dove proviene effettivamente la sua casualità, e questo è qualcosa che puoi capire e, se lo desideri, controllare tu stesso.

Cosa ha effettivamente compromesso il difetto di Coldcard

Per capire perché questo sia importante, è utile sapere a cosa serve una frase di recupero. Quando un wallet genera una nuova frase di recupero, ha bisogno di una fonte di entropia, ovvero dati imprevedibili che nessuno, nemmeno un hacker con un supercomputer, potrebbe indovinare o riprodurre. Tale entropia viene convertita in una sequenza di parole (12 o 24, a seconda dello standard) che rappresentano le chiavi private in un formato leggibile dall'uomo. Finché l'entropia alla base di queste parole è veramente casuale, forzare una frase di recupero è computazionalmente impossibile.

Il bug di Coldcard ha compromesso questo primo passaggio. Invece di utilizzare il generatore di numeri casuali hardware STM32 del dispositivo, le versioni del firmware interessate si affidavano a un generatore software deterministico il cui output poteva, nelle giuste condizioni, essere ricostruito da chi conosceva la falla. Secondo l'avviso di Coinkite, i dispositivi Mk4, Mk5 e Q con prefisso producevano seed con circa 72 bit di entropia effettiva anziché i 128 previsti. Questa differenza può sembrare astratta finché non se ne comprende il significato pratico: un seed che appare come una normale frase di 24 parole, generato su un dispositivo open-source certificato e isolato dalla rete, ma che in realtà non era mai stato difficile da indovinare.

Due dettagli dell'incidente sono importanti per chiunque stia pensando alla generazione di seed gofuturo. Primo, l'aggiornamento del firmware corregge i seed futuri, non quelli passati; un wallet creato prima della patch rimane vulnerabile per sempre, indipendentemente da quanto aggiornato diventi il ​​software. Secondo, e più rilevante per questo articolo, l'avviso di Coinkite specificava esplicitamente che i seed generati da lanci di dadi indipendenti, o protetti con una robusta passphrase BIP-39, non erano mai stati esposti al bug, perché non dipendevano in alcun modo dalla casualità interna del dispositivo.

Quel singolo fatto cambia completamente la prospettiva della discussione. Il seme più sicuro non è quello generato dal tuo dispositivo, ma quello di cui puoi verificare la corretta generazione, in un modo che nessun software potrebbe mai falsificare silenziosamente.

Quante frasi di seed possibili esistono realmente?

Prima di addentrarci nei metodi di generazione manuale, è utile comprendere la portata di ciò che una frase di recupero protegge, perché i numeri in gioco sono difficili da tenere a mente senza un paragone.

Da dove proviene il numero

Una frase seme standard di 24 parole codifica 256 bit di entropia (una frase di 12 parole ne codifica 128). Ogni bit raddoppia il numero di combinazioni possibili, quindi il numero totale di possibili frasi seme di 24 parole è 2 elevato alla potenza di 256. Scritto per esteso, è approssimativamente:

115,792,089,237,316,195,423,570,985,008,687,907,853,269,984,665,640,564,039,457,584,007,913,129,639,936

Ovvero, in notazione scientifica, circa 1,16 × 10^77.

Mettere 2^256 in prospettiva

Numeri così grandi smettono di avere un significato intuitivo, quindi cosmologi e crittografi ricorrono allo stesso paragone: il numero stimato di atomi nell'universo osservabile, circa 10^80. Ciò significa che lo spazio totale delle possibili frasi seme di 24 parole è solo circa mille volte più piccolo del numero di atomi in tutto ciò che si può osservare con un telescopio, comprese tutte le stelle, i pianeti e le galassie.

Un modo più concreto per comprendere la portata del problema: se tutti i computer sulla Terra oggi, messi insieme, provassero un miliardo di seed al secondo, e questo sforzo continuasse ininterrottamente dal Big Bang, non riuscirebbero a scalfire nemmeno una minima parte dello spazio possibile a 256 bit. Ecco perché forzare un seed correttamente generato non è considerato un modello di minaccia realistico. L'incidente di Coldcard non è stato un attacco di forza bruta nel senso tradizionale del termine. Si è trattato di un attacco contro seed che non erano mai stati effettivamente distribuiti nell'intero spazio 2^256, perché il generatore difettoso produceva un insieme di risultati molto più piccolo e prevedibile.

Questa distinzione è importante. La matematica alla base delle frasi di recupero è corretta. Il problema nel 2026 non è stata la crittografia, bensì il processo che avrebbe dovuto generare una reale casualità.

Generare la propria entropia: dadi, carte e altri metodi manuali

Se non si desidera fare affidamento interamente sul generatore di numeri casuali interno di un dispositivo, è possibile generare autonomamente parte o tutta l'entropia del seme, utilizzando strumenti che non richiedono firmware, software e non presentano vulnerabilità da sfruttare.

Il metodo dei dadi

Il lancio di un dado standard a sei facce produce uno dei sei risultati ugualmente probabili, il che equivale a circa 2,58 bit di entropia per lancio. Per raggiungere i 128 bit di un seed di 12 parole, sono necessari circa 50 lanci. Per raggiungere i 256 bit di un seed di 24 parole, ne servono circa 99. Diversi strumenti open-source, incluse le versioni offline dei calcolatori da dado a seed BIP-39, convertono una sequenza di lanci di dado in una frase seed valida senza mai utilizzare internet.

Alcuni accorgimenti pratici rendono questo metodo effettivamente sicuro, e non solo teoricamente sicuro:

1. Utilizza dadi di cui ti fidi, che siano equi e non truccati, idealmente dadi da casinò piuttosto che un set casuale preso da un gioco da tavolo.

2. Girate il video in uno spazio privato, lontano da telecamere, altoparlanti intelligenti o qualsiasi dispositivo dotato di microfono.

3. Registra ogni rullino immediatamente e in ordine; non affidarti alla memoria.

4. Effettua la conversione da rotoli a parole su un computer offline, isolato dalla rete, oppure manualmente utilizzando l'elenco ufficiale delle parole.

Palline della lotteria, lanci di monete e altri fenomeni fisici casuali

I dadi non sono l'unica opzione. Palline della lotteria numerate, carte da gioco ben mescolate o persino una lunga sequenza di lanci di moneta possono fungere da fonti di entropia, poiché ognuna ha una distribuzione di probabilità nota e calcolabile. I lanci di moneta sono concettualmente i più semplici (ogni lancio corrisponde esattamente a 1 bit), ma richiedono circa 256 lanci per ottenere un seme completo di 24 parole, il che è tedioso ma perfettamente valido. Il principio è lo stesso per tutti questi metodi: una casualità fisica e verificabile che esiste completamente al di fuori di qualsiasi sistema elettronico.

Combinazione dell'entropia manuale con un dispositivo

Non è necessario scegliere tra l'uno o l'altro. La maggior parte dei moderni wallethardware, incluso il firmware attuale di Coldcard, supporta l'inserimento diretto della propria entropia derivata dal lancio dei dadi, oppure la sua combinazione con la casualità interna del dispositivo, in modo che anche se una delle due fonti venisse in qualche modo compromessa, l'altra continuerebbe a proteggervi. Questo approccio ibrido, a volte chiamato "genera la tua entropia", è il metodo che Coinkite stessa ha indicato come non interessato dalla falla 2026.

Fonte di entropia	Dipende dal firmware del dispositivo	Dipende dall'onestà fisica dei dadi/carte	È richiesto uno sforzo
Generazione solo dispositivo	SÌ	NO	Minimo
Solo manuale (dadi, carte, monete)	NO	SÌ	Alto
Ibrido (dispositivo + manuale, operazione XOR)	Parzialmente	SÌ	Moderare

Caricamento di una seed generation generata manualmente su un Wallet hardware

Generare una forte entropia è utile solo se il seme risultante finisce in un luogo da cui non può essere estratto. È qui che il wallet hardware diventa fondamentale, anche in un flusso di lavoro di entropia manuale.

Una volta convertiti i risultati dei lanci di dadi (o altra entropia fisica) in una frase di recupero BIP-39 valida, queste parole vanno inserite direttamente nel dispositivo utilizzando il suo schermo e i pulsanti, mai tramite tastiera, mai tramite app e mai digitandole da qualche parte connessa a Internet. Un wallet hardware progettato correttamente memorizza le chiavi private risultanti all'interno di un elemento sicuro o di una regione di memoria protetta, costruita per resistere all'estrazione, anche da parte di chi ha accesso fisico al dispositivo. La frase di recupero stessa, le parole su carta o metallo, rimane l'unica copia di quel segreto; il dispositivo non la visualizza né la esporta più dopo la configurazione.

È qui che entra in gioco la passphrase BIP-39. Una passphrase, a volte chiamata "25a parola", aggiunge un ulteriore livello di entropia che esiste solo nella memoria dell'utente e non viene mai memorizzata sul dispositivo. Persino nel caso Coldcard, Coinkite ha notato che walletprotetti da passphrase non erano esposti alla vulnerabilità, perché la passphrase modifica le chiavi risultanti in un modo che la debolezza interna del dispositivo non poteva prevedere. Combinare l'entropia generata manualmente con una passphrase è attualmente una delle configurazioni più resilienti a disposizione dei singoli utenti, proprio perché elimina i singoli punti di vulnerabilità sia a livello di casualità che di archiviazione.

Per una descrizione più dettagliata di come le chiavi private vengono archiviate e protette una volta caricato un seed, consulta wallet la sezione hardware e software wallet e la sezione strumenti per le utility di verifica dell'entropia e di controllo della sicurezza.

FAQ

Il mio vecchio seed Coldcard è ora automaticamente al sicuro dopo l'aggiornamento del firmware?

No. La patch impedisce al dispositivo di generare nuove seed deboli; non fa nulla per rafforzare una seed già creata su un firmware interessato. Se la tua seed è stata generata prima della correzione e senza almeno 50 lanci di dadi indipendenti, considerala compromessa e trasferisci i fondi in un walletappena generato.

Ho davvero bisogno di 99 lanci di dadi, o esiste una scorciatoia?

Sono necessari novantanove lanci di dadi a sei facce per raggiungere i 256 bit necessari per un seed di 24 parole. Alcuni accettano invece 50 lanci (circa 128 bit) per un seed di 12 parole, che è comunque considerato computazionalmente inviolabile, sebbene con un margine di sicurezza inferiore a 256 bit.

Posso fidarmi di un generatore di numeri casuali integrato nel software wallet invece che di un dispositivo fisico?

I generatori basati su software possono essere sicuri, ma dipendono interamente dalla qualità del codice e dal pool di entropia del sistema operativo. L'incidente di Coldcard ci ricorda che "hardware" e "sicuro" non sono automaticamente sinonimi. I metodi fisici, come i dadi, eliminano completamente questa dipendenza.

Qual è la differenza tra una frase di recupero (seed phrase) e una passphrase BIP-39?

La frase di recupero (12 o 24 parole) viene generata una sola volta tramite entropia e rappresenta le chiavi private di base. La passphrase è una parola o frase aggiuntiva che scegli e memorizzi, la quale, combinata con la frase di recupero, crea un walletcompletamente diverso. Perdere la passphrase significa perdere l'accesso, anche se la frase di recupero è intatta.

È sicuro digitare manualmente un seed generato in un computer per verificarlo?

Solo su un computer che non è mai stato e non sarà mai connesso a Internet, idealmente uno con un sistema operativo live e non persistente. Per la maggior parte delle persone, inserire le parole direttamente sullo schermo del wallethardware è più sicuro e sufficiente.

La falla di Coldcard non ha compromesso la crittografia. Ha minato la fiducia in un presupposto, ovvero che la casualità interna di un wallethardware sia automaticamente go. La matematica alla base di una frase di recupero correttamente generata è ancora valida, con uno spazio di combinazioni paragonabile al numero di atomi nell'universo osservabile. Ciò che il 2026 ha dimostrato è che il punto debole non è la matematica, ma il processo che la alimenta. Generare la propria entropia con dadi, carte o lanci di moneta, e poi caricarla direttamente su un dispositivo che non può esportarla, elimina quel singolo punto di fallimento e restituisce il controllo della casualità all'utente.

Esplora la Wallet → I membri PRO hanno accesso a guide di verifica dell'entropia e a procedure dettagliate wallet per tutti i principali dispositivi.

Scopri i piani PRO e Master →