MARA apre Slipstream al pubblico mentre le vittime di Coldcard cercano freneticamente di fuggire

MARA elimina i codici di accesso

MARA Holdings, società quotata al Nasdaq che si occupa di mining di bitcoin e fornisce infrastrutture di intelligenza artificiale (AI), precedentemente nota come Marathon Digital, ha creato il servizio Slipstream per consentire agli utenti di inviare transazioni in bitcoin direttamente al proprio pool di mining invece di trasmetterle alla rete pubblica.

La maggior parte delle transazioni in bitcoin passa attraverso una sala d’attesa condivisa chiamata mempool, dove ogni nodo della rete può vedere una transazione prima che venga confermata in un blocco. Slipstream salta quella sala d’attesa. Un utente invia una transazione firmata direttamente a MARA, e questa rimane nascosta finché MARA non estrae un blocco che la contiene.

Il 3 agosto 2026, la Fondazione MARA ha pubblicato l’aggiornamento su X:

“MARA Slipstream è ora disponibile come bene pubblico senza autorizzazione e senza requisiti di codice client. Si prega di prestare attenzione e di essere prudenti con le commissioni per evitare che le transazioni rimangano bloccate nel mempool di Slipstream nel caso in cui le tariffe competitive subiscano un picco. Per il prossimo futuro, non applicheremo commissioni aggiuntive per questo servizio, ma gli utenti sono tenuti a pagare le commissioni di transazione Bitcoin appropriate.”

Quest’ultimo punto è importante. MARA non applica alcun sovrapprezzo. Gli utenti continuano a pagare le normali commissioni della rete Bitcoin, semplicemente inviano la transazione tramite un canale privato anziché tramite quello pubblico.

Una falla nel portafoglio hardware determina la tempistica

La tempistica non è una coincidenza. Alla fine di luglio, alcuni ricercatori hanno rivelato una grave vulnerabilità nei portafogli hardware Coldcard, riconducibile a un errore di codifica del firmware risalente a marzo 2021. Anziché attingere alla casualità dal generatore hardware dedicato del dispositivo, i modelli Coldcard interessati ricorrevano a un processo software meno sicuro durante la creazione della frase seed di 24 parole del portafoglio. Tale errore ha ridotto la casualità effettiva dai 128 bit previsti a circa 40 bit sui modelli più vecchi e a 72 bit su quelli più recenti. Un numero inferiore di combinazioni possibili significa che un malintenzionato con una potenza di calcolo sufficiente può indovinare il seed e sbloccare il portafoglio.

Gli hacker si affrettano a svuotare i portafogli vulnerabili

Gli aggressori hanno agito rapidamente. I primi conteggi hanno rilevato circa 594 BTC, pari a quasi 38 milioni di dollari all’epoca, sottratti da circa 500 indirizzi. Stime successive hanno portato il totale a una cifra compresa tra i 70 e gli 88 milioni di dollari, man mano che venivano alla luce altri portafogli compromessi. Al 4 agosto, si stima che gli hacker abbiano rubato circa 1.816 BTC, per un valore di circa 116 milioni di dollari, da oltre 5.200 portafogli distinti.

Una patch del firmware impedisce ai nuovi portafogli di ereditare la vulnerabilità, ma non ha alcun effetto sulle frasi seed già generate con il codice compromesso. Chiunque abbia configurato una Coldcard negli anni in questione deve trasferire le proprie monete su un nuovo portafoglio.

Il trasferimento pubblico dei fondi crea una trappola a sé stante

Per chi utilizza configurazioni multi-firma, comuni tra gli utenti di Coldcard che distribuiscono il controllo dei fondi su diversi dispositivi, la migrazione stessa comporta dei rischi. La trasmissione pubblica di una transazione rivela le chiavi del portafoglio e le condizioni di spesa. Un malintenzionato che sia già in possesso di una chiave privata debole corrispondente può individuare quella transazione, crearne una concorrente con una commissione più alta e utilizzare una funzionalità della rete Bitcoin chiamata Replace-by-Fee (RBF) per saltare la fila e rubare i fondi prima che la transazione originale venga confermata.

Slipstream di MARA elimina questa finestra di esposizione. Poiché la transazione non entra mai nel mempool pubblico, un malintenzionato non vede mai le chiavi né i dettagli di spesa finché MARA non ha già minato le monete in un blocco confermato.

Slipstream precede la crisi di due anni

MARA ha lanciato Slipstream per la prima volta il 22 febbraio 2024, con l’obiettivo di agevolare transazioni di importo elevato o insolite che molti nodi Bitcoin rifiutano di inoltrare in base alle politiche standard. Il CEO Fred Thiel lo definì all’epoca come un modo per mettere l’infrastruttura di mining di MARA al servizio degli utenti Bitcoin più esperti, pur rimanendo nei limiti delle regole del protocollo. In precedenza, l’accesso richiedeva un codice cliente durante i periodi di forte domanda o di manutenzione. Tale requisito è ora stato eliminato.

Gli utenti continuano ad assumersi il rischio di fiducia e di tempistica

Slipstream dipende ancora dalla capacità di MARA di trovare blocchi. Una transazione rimane nella coda privata di MARA fino a quando il pool non ne estrae uno, quindi i tempi dipendono interamente dalla quota di MARA rispetto all’hashrate totale di Bitcoin.

Al momento della pubblicazione, il pool di MARA controlla oltre il 5% della potenza di hash complessiva che alimenta Bitcoin. MARA invita gli utenti a mantenere le commissioni competitive ma non eccessive, poiché una transazione bloccata nella sua coda privata durante un picco delle commissioni potrebbe rimanere in sospeso per un po’ prima di essere confermata.

Cosa riserva il futuro ai possessori di Coldcard

La comunità di Bitcoin nel suo complesso sta considerando il rilancio pubblico di Slipstream come uno strumento pratico per affrontare una crisi di sicurezza, non come un cambiamento permanente nel modo in cui la maggior parte delle transazioni dovrebbe avvenire. Per i trasferimenti quotidiani, il mempool pubblico rimane la via standard. Tuttavia, per gli utenti di Coldcard che detengono ancora monete su seed compromessi, i ricercatori di sicurezza e gli sviluppatori di wallet hanno indicato Slipstream come uno dei modi più affidabili per trasferire fondi senza allertare preventivamente gli aggressori.

Restate aggiornati sulle stime delle perdite man mano che emergono altri indirizzi compromessi, sulle ulteriori indicazioni da parte di Coldcard riguardo alle versioni del firmware e agli intervalli di numeri di serie interessati, e sull’eventuale decisione di altri miner di seguire l’esempio di MARA nell’offrire un percorso di invio privato simile.