SDE ep. 41: Autocustodia di Bitcoin dopo ColdCard

Nell'episodio 41 di Separando il Denaro e lo Stato, Matías Mathey torna nel programma in modalità emergenza, giorni dopo l'incidente di Coldcard, non come analista del guasto tecnico ma come chi è stato sul campo ad assistere le persone spaventate: chiamate, workshop, spazi, un tutorial gratuito per la configurazione della passphrase per diciotto portafogli.

Il suo quadro per la crisi è quello di urgente contro importante: l'urgenza è non perdere i fondi --- anche se ciò implica passare temporaneamente attraverso un exchange, contro il riflesso purista del non-KYC --- e l'importante viene dopo, quando c'è tempo per pensare all'hardware, alla multifirma, all'eredità. Sul dilemma di fondo --- quanta complessità è troppa --- porta il miglior materiale dell'episodio: il nonno argentino che nascondeva i dollari sotto il mosaico e si portò il segreto nella tomba. La paranoia che distrugge il patrimonio non è stata inventata dall'autocustodia.

Matías propone un'uscita concreta e difficile: audit incrociate tra concorrenti --- Trezor che controlla Blockstream e viceversa --- con processi di approvazione multipla in stile norme ISO, e ammette nella stessa frase perché non accade: ego e interessi commerciali.

Le informazioni più rilevanti:

• Nessuno dei suoi clienti più vicini è stato colpito; diversi avevano Coldcard MK4 con passphrase e hanno effettuato migrazioni o rinforzi della loro configurazione.
• Inizialmente si pensava che il problema fosse circoscritto ai dispositivi con il firmware del 2021, ma sono stati sottratti fondi anche da dispositivi MK4.
• Jameson Lopp ha sottolineato che la maggior parte delle persone non andrà ad auditare il codice delle aziende e finisce per fidarsi.
• Secondo quanto dichiarato da Coldcard, l'azienda ha passato il suo codice attraverso vari servizi di intelligenza artificiale e non ha rilevato la vulnerabilità.
• L'attaccante sta muovendo i fondi attraverso un mixer, presumibilmente Wasabi.
• Un utente identificato come Krwed è stato segnalato sui social come il coordinatore del CoinJoin utilizzato, e si posiziona a favore dell'anticensura e dell'inconfiscabilità.
• Secondo Matías, in Coldcard esisteva autonomia affinché gli sviluppatori caricassero certi cambiamenti al codice senza revisione di terzi.
• Circa un mese fa, è stata hackerata una notaio in Romania e sono stati cancellati registri di proprietà di abitazioni; situazioni simili sono avvenute in Polonia, Grecia e Croazia.
• Dopo l'incidente si sono raggiunti picchi record di transazioni on-chain da parte di utenti che uscivano da Coldcard o cambiavano configurazioni.
• Charles Guillemet, di Ledger, ha sottolineato che la relazione di costo e sforzo per rivedere il codice cambia completamente quando lo fa un agente automatizzato invece di un umano.
• Esiste un Red Team di Bitcoin, con la partecipazione del CEO di Anchor Watch e di Calle, di Cashu, che rivede il codice con intelligenza artificiale.
• Secondo Calle, quella revisione ha trovato circa una vulnerabilità critica per persona all'ora nei progetti analizzati.
• Matías prova configurazioni di multifirma, inclusi schemi di quattro su dieci con hardware wallets.
• Nella stessa settimana, Boltz ha subito un attacco sostenuto per diversi giorni e ha sospeso i servizi prima che venissero compromessi fondi.
• La caduta di Boltz ha avuto ripercussioni su altri servizi dell'industria.
• I covenants permetterebbero di stabilire condizioni di spesa, come limitare l'invio di bitcoin solo a indirizzi predefiniti, qualcosa che attualmente non è possibile.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.