Le vendite di Trezor, Onekey e Bitbox registrano un’impennata sulla scia della crisi delle cold card; i modelli di sicurezza si evolvono

Tra i 13 produttori di portafogli hardware contattati da Bitcoin.com News per un commento, Trezor, Bitbox e Onekey hanno confermato che le loro vendite hanno registrato un’impennata nel mese di agosto. Ledger ha rifiutato di commentare le proprie vendite mensili, mentre Block, il produttore di Bitkey quotato in borsa, è vincolato dai propri rapporti trimestrali.

Sebbene nessuna delle aziende abbia rivelato i numeri esatti, Bitbox è stata la più specifica, affermando che le vendite tramite carta di credito sono aumentate di circa dieci volte rispetto al livello di riferimento delle settimane precedenti. Questo dato non include le vendite effettuate tramite altri metodi di pagamento.

«Abbiamo registrato un’impennata delle vendite, proveniente principalmente dal Nord America, dove presumibilmente Coldcard aveva la sua maggiore presenza», ha dichiarato a Bitcoin.com News Douglas Bakkum, CEO di Bitbox.

Un segnale incoraggiante per l’autocustodia

Nel frattempo, Trezor ha dichiarato di aver registrato anch’essa un aumento delle vendite, in particolare per i propri prodotti dedicati esclusivamente ai bitcoin. Sebbene l’azienda non abbia specificato le cifre, il suo responsabile della sicurezza, Jan Komárek, ha sottolineato che questo picco rappresenta un segnale incoraggiante per l’intero settore dei bitcoin.

“Per noi, l’aspetto più interessante è ciò che questo suggerisce: sembra che le persone coinvolte nella vicenda Coldcard abbiano cercato un altro portafoglio hardware piuttosto che rinunciare all’autocustodia”, ha affermato, aggiungendo che questa è «la conclusione incoraggiante: la risposta a un momento difficile è stata quella di mantenere il controllo delle proprie chiavi, non di rinunciarvi».

Tuttavia, secondo gli analisti del settore, molti utenti di portafogli hardware hanno inviato i propri fondi a exchange di criptovalute o hanno trasferito il proprio capitale in ETF, abbandonando l’autocustodia. In entrambi i casi, non è chiaro quanto sia stata ampia questa migrazione né se si sia trattato solo di una misura temporanea prima che gli utenti tornassero all’autocustodia.

Onekey, pur registrando anch’essa un aumento delle vendite, ha osservato che ciò potrebbe essere stato influenzato anche da altri fattori, tra cui i cicli di vita dei singoli prodotti. Secondo l’azienda, la crisi di Coldcard ha alimentato un dibattito molto più ampio sulle questioni di sicurezza dei portafogli hardware che solitamente sono invisibili agli utenti finali, come la generazione della frase seed.

Tuttavia, la vulnerabilità del firmware di Coldcard ha alimentato discussioni e azioni simili non solo tra gli utenti finali, ma anche tra i produttori di portafogli hardware. Innanzitutto, l’incidente ha spinto i team a rivedere i propri attuali modelli di sicurezza.

Cosa hanno già fatto i portafogli

Trezor ha rivisto il proprio processo di generazione del seed specificamente in relazione alla modalità di fallo che è stata sfruttata nel caso Coldcard; BitBox ha effettuato «un’altra analisi approfondita» del proprio codice del generatore di numeri casuali, mentre Onekey ha dichiarato di aver condotto un’ulteriore verifica end-to-end dei percorsi di entropia e generazione del seed in tutta la propria linea di portafogli hardware.

Come riportato da Bitcoin.com News, in modo indipendente e senza alcun collegamento con Coldcard, BitBox ha reso noti e corretti i propri bug del firmware lo scorso agosto. Non sono stati segnalati casi di sfruttamento di tali vulnerabilità. Nel frattempo, nello stesso mese, Trezor ha reso noto che quasi 14.000 dei propri clienti sono stati colpiti da una violazione dei dati presso uno dei fornitori di servizi di spedizione di Trezor. In entrambi i casi, la battaglia principale per la sicurezza deve ancora essere combattuta, mentre i portafogli hardware per bitcoin e altre criptovalute si adattano alla nuova realtà determinata dall’intelligenza artificiale.

Due aspetti su cui concentrarsi

«Gli aggressori operano già alla velocità delle macchine, quindi dobbiamo fare lo stesso per stare un passo avanti a loro», ha affermato Charles Guillemet, CTO di Ledger, aggiungendo che attualmente la difesa si muove ancora più lentamente degli aggressori. Almeno, secondo lui, il lasso di tempo che intercorre tra il rilascio di una patch e il suo utilizzo a fini malevoli si sta riducendo.

Il CTO ha sottolineato che le aziende dovrebbero ora concentrarsi su due aspetti: migliorare la divulgazione delle informazioni e la formazione degli utenti.

«In primo luogo, la divulgazione responsabile deve evolversi con patch più rapide, tempi di divulgazione più brevi e strategie di migrazione che considerino gli aggressori competenti e assistiti dall’IA come parte integrante del modello di sicurezza, piuttosto che come miglioramenti opzionali», ha dichiarato Guillemet a Bitcoin.com News.

Inoltre, secondo lui, aiutare le persone a comprendere i portafogli hardware «sarà essenziale per garantire la sicurezza del settore».

Aggiornate anche i vostri elettrodomestici

Sulla stessa linea, nelle loro “riflessioni sulle conseguenze del caso Coldcard”, gli sviluppatori del portafoglio Blockstream Jade hanno esortato gli utenti di portafogli hardware a mantenere aggiornato il proprio software. Blockstream Jade ha appena rilasciato un aggiornamento del firmware con una serie di correzioni. Tuttavia, secondo il team, oltre ai portafogli hardware, gli utenti dovrebbero mantenere aggiornate le proprie applicazioni, i sistemi operativi, i dispositivi, i router e persino gli elettrodomestici.

“Mantenere la sicurezza è un processo continuo, e anche voi, in quanto utenti, dovete partecipare”, hanno sottolineato, aggiungendo che il bug di Coldcard è stato “un caso sfortunato in cui non è stato possibile garantire la sicurezza degli utenti tramite l’aggiornamento” del loro software e firmware.

Nel frattempo, Onekey ha aggiunto che la sicurezza dei portafogli hardware deve basarsi su entropia e archiviazione delle chiavi supportate dall’hardware, software open source verificabile, revisione indipendente della sicurezza, forte separazione dei componenti critici per la sicurezza e chiara verifica delle transazioni da parte dell’utente.

«Poiché l’intelligenza artificiale riduce i costi di analisi del software e di automazione degli attacchi, l’obiettivo è garantire che l’individuazione di una singola vulnerabilità nell’implementazione non sia sufficiente a compromettere l’intero modello di sicurezza», ha affermato il produttore del portafoglio.

Piani di sicurezza a breve, medio e lungo termine

Le aziende stesse stanno già implementando modifiche alla sicurezza a breve, medio e lungo termine. Ad esempio, Trezor, «in risposta diretta ai risultati di Coldcard», sta aggiungendo «ulteriori controlli di validità» sull’entropia generata internamente dal dispositivo stesso quando verifica se l’entropia esterna venga effettivamente utilizzata.

“Oltre a ciò, la nostra analisi ci ha portato a rafforzare i nostri test interni e i meccanismi di protezione relativi al generatore di test non sicuro, nonché ad ampliare le modalità con cui verifichiamo il percorso di chiamata di ogni singola fonte di entropia”, ha affermato Komárek, sottolineando che il generatore non sicuro esiste solo per i test interni.

L’azienda sta inoltre esaminando le segnalazioni provenienti da ricercatori di sicurezza indipendenti e, nel medio termine, sta pianificando un nuovo test di penetrazione delle funzionalità principali del firmware, che sarà condotto da «un’agenzia di sicurezza esterna di grande prestigio». È prevista la pubblicazione dei rapporti di audit di sicurezza.

“A più lungo termine, il nostro obiettivo è anticipare gli attacchi basati sull’intelligenza artificiale piuttosto che reagire ad essi”, ha affermato il responsabile della sicurezza, mentre anche altri produttori di wallet hanno sottolineato che stanno già utilizzando l’intelligenza artificiale per revisionare il proprio codice, parallelamente ai programmi di bounty.

«Il nostro laboratorio di ricerca Donjon (laboratorio di hacker white hat) ha lo scopo di cercare di violare i nostri prodotti prima che possa farlo chiunque altro e, internamente, facciamo ampio uso di modelli di linguaggio di grandi dimensioni (LLM) per individuare le vulnerabilità nei nostri stessi prodotti», ha aggiunto Guillemet di Ledger.

Onekey ha dichiarato di concentrarsi ora sul rafforzamento delle revisioni dei percorsi di codice critici per la sicurezza, delle build del firmware, della generazione di entropia e dei flussi di firma delle transazioni, mentre, nel medio termine, l’attenzione si sposterà sulla verifica delle transazioni, con riferimento alla soluzione Clear Signing, rilevante per molti dei principali asset crittografici oltre al bitcoin.

Responsabilità condivisa e nuovi bug critici

Nel frattempo, i ricercatori di sicurezza di Block, il produttore di Bitkey, hanno svolto un ruolo fondamentale nell’aiutare il settore dei portafogli hardware e di Bitcoin durante la crisi di Coldcard, impegnandosi attivamente con la comunità per condividere risultati critici e coordinare gli sforzi di risposta.

«Abbiamo condiviso le nostre scoperte in modo trasparente sia tramite discussioni pubbliche su X sia attraverso canali privati, poiché riteniamo che, quando le vulnerabilità di sicurezza colpiscono l’ecosistema, tutti i produttori abbiano la responsabilità di agire rapidamente», ha dichiarato l’azienda a Bitcoin.com News, aggiungendo che i portafogli hardware dovrebbero mantenere il controllo sui modelli di sicurezza chiave.

Mentre scrivevamo questo articolo, il 26 agosto, hanno iniziato a circolare notizie su un altro “bug critico in un importante fornitore di portafogli hardware”. Rob Segers, consulente di sicurezza Bitcoin e fondatore di Bitsaga, che ha individuato il bug insieme a “diversi altri bug ad alta gravità”, ha affermato che il fornitore, di cui non è stato rivelato il nome, ha confermato l’esistenza di questi bug, “ma una correzione è già prevista in una prossima versione”.

Secondo Segers, il bug critico è stato individuato nel «firmware ufficiale dell’hardware, ma richiede un software host dannoso» per sottrarre i fondi. Ciò significa che il bug potrebbe essere sfruttato se un utente, ad esempio, scaricasse un portafoglio contraffatto. Marek “Slush” Palatinus, cofondatore di Trezor, ha confermato che il bug segnalato non riguarda questo portafoglio. Nel frattempo, Seger ha riferito di aver individuato altri due bug, suscitando critiche per aver diffuso allarmismo. State al sicuro.