🐢 Buonsalve tartarughe!

In tanti ormai conoscete turtlecute.org, ma il sito è cresciuto talmente tanto negli ultimi mesi che mi sembrava doveroso fare un riepilogo.

Ormai è diventato una bella libreria di guide in italiano sulla privacy e sulla sovranità digitale, tutte gratuite e scritte senza fronzoli.

Ci trovate i grandi classici che molti di voi hanno già usato, come la guida completa a GrapheneOS per liberarsi di Google sul telefono, e tante altre risorse che aggiorno nel tempo 🔒

Tra le aggiunte più recenti vi segnalo:

🌟 Hardening Linux - distro sicure, cifratura LUKS, firewall, kernel hardening e Secure Boot. Tutto quello che serve per blindare il sistema.

🌟 Hardening macOS - alla configurazione iniziale a firewall, DNS, Tor, VPN e crittografia. Anche apple non é perfetta di default.

🌟 Comprare Bitcoin no-KYC - accumulare sats senza documenti, dal P2P via Tor agli altri metodi per restare anonimi.

🌟 Migliori hardware wallet - il mio podio con voti onesti, dal PC Linux air-gapped ai vari dispositivi hardware dedicati. Cosa scegliere davvero e cosa evitare.

E queste sono solo una parte. Il resto lo trovate direttamente sul sito, dove continuo ad aggiungere roba nuova occasionalmente.

👉 turtlecute.org

🚨 Attenzione se usate Coldcard

Nelle ultime ore sono emerse segnalazioni di wallet Coldcard svuotati. L’analisi del firmware ha individuato un problema nella generazione dell’entropia, poi confermato da un advisory di Coinkite.

🌟 Cosa è successo

Quando create un wallet, il dispositivo genera la casualità da cui deriva il seed. Se questa casualità è prevedibile, anche il seed può diventarlo.

A causa di un errore di compilazione, alcune versioni del firmware Coldcard non usavano correttamente il generatore hardware. Il sistema ripiegava su un generatore software alimentato da valori fissi o ricostruibili, come il numero di serie del chip e alcuni orologi interni.

🌟 Quali modelli sono coinvolti

Mk2 e Mk3 con firmware 4.0.1 o successivo rappresentano il caso più grave: il seed veniva generato senza entropia crittografica e risultava, di fatto, deterministico.

Mk4, Q e Mk5 includono una correzione introdotta nel 2022, ma ricevono dal generatore soltanto 4 byte di entropia. Lo spazio di ricerca è quindi pari a 2³², alla portata di hardware specializzato.

Coinkite dichiara questi modelli non vulnerabili, mentre Block sostiene il contrario. In attesa di una revisione tecnica completa, tratterei anche questi seed come potenzialmente non sicuri.

Conta il firmware usato per generare il seed, non la data di acquisto del dispositivo. Aggiornare oggi non mette al sicuro un seed già creato. Lo stesso vale se quel seed è stato importato su un altro wallet.

🌟 Chi è meno esposto

- Chi ha generato il seed con i dadi, perché questo metodo non dipende dal generatore del dispositivo.
- Chi ha usato una passphrase BIP39 davvero forte. Il rischio si riduce molto, ma migrare resta una precauzione sensata.
- Chi ha creato il seed su un altro dispositivo.
- Chi usa un multisig, purché le chiavi potenzialmente compromesse non siano sufficienti a raggiungere il quorum.

⚠️ Se dovete migrare, fatelo con calma

La fretta può causare più danni del bug.

Generate un nuovo seed e verificate il backup prima di spostare i fondi. Controllate l’indirizzo di ricezione sullo schermo del dispositivo, non soltanto sul computer. Inviate prima una piccola transazione di prova e aspettate la conferma.

Solo dopo trasferite il resto. Conservate il vecchio backup finché tutte le transazioni non sono state confermate.

🎲 Il consiglio resta lo stesso

Generate il seed con i dadi. In questo modo l’entropia dipende da voi, non dal firmware o dall’hardware scelto dal produttore.

👉Guida: https://turtlecute.org/seed
👉 Advisory Coinkite
👉 Report tecnico Block

Stay safe 🧡

🐢 Buonsalve tartarughe, e purtroppo si riapre con una brutta notizia. In questi giorni ne stiamo collezionando parecchie.

Boltz ha disabilitato gli swap fino a nuovo avviso 👉 https://x.com/boltzhq/status/2084311537502630319

🌟 Non è colpa di un singolo attacco. Nei mesi scorsi hanno visto una crescita costante di probing automatizzato e assistito da AI contro la loro infrastruttura, con diversi exploit subiti e contenuti. Negli ultimi giorni un'accelerazione drastica, con più gruppi organizzati che li prendevano di mira. A quel punto hanno deciso che non potevano responsabilmente riaccendere il servizio.

🌟 Nessun fondo utente è mai stato a rischio, Boltz era non custodial per design. Le perdite se le sono prese interamente loro, che tra l'altro sono bootstrapped, senza VC alle spalle. Rispetto enorme per la trasparenza con cui hanno comunicato tutto.

🌟 L'API resta attiva per i rimborsi cooperativi e i refund unilaterali funzionano comunque, perché non dipendono dalla loro infrastruttura. Se avete swap in sospeso, muovetevi ora.

Personalmente lo considero uno dei migliori tool usciti nell'ecosistema negli ultimi anni: no-KYC, open source, via Tor, e soprattutto trustless e atomico, quindi nessuno poteva rubarvi niente. Se la sospensione diventasse definitiva (molto molto molto probabile) sarebbe una perdita seria per Bitcoin e per Lightning 🧡

🌟 Loro dicono di non sapere ancora come proseguirà e che aggiorneranno appena avranno ripreso fiato. Speriamo tornino, e nel frattempo speriamo che qualcuno raccolga il testimone, perché il codice è lì, aperto e open.

👉 Guide, tool e servizi privacy oriented

🐢 Buonsalve tartarughe, stasera si terminerà la segnalazione opzionale di BIP110 e ci saranno un po' di cose a cui prestare attenzione:

🌟 Al blocco 961.632, atteso intorno alle 22:30, i nodi che applicano BIP-110 inizieranno a rifiutare tutti i blocchi che non segnalano il supporto alla proposta. Il problema è che la segnalazione dei miner sta a circa il 2,6% contro una soglia del 55%, quindi quei nodi si ritroveranno a rifiutare la catena su cui sta lavorando praticamente tutto l'hashrate mondiale.

Tradotto: possibile chain split, con una catena minoritaria lentissima. Le restrizioni vere e proprie di BIP-110 si attiverebbero solo intorno al blocco 965.664, quindi a inizio settembre.

In caso di chain split ci sono 3 cose a cui prestare estrema attenzione:

🌟 La mancanza di replay protection

Quest'ultima è quel meccanismo che rende una transazione firmata valida su una sola delle due catene. Qui non c'è. Significa che se firmate una transazione per vendere le "monete gratis" del fork, la stessa identica transazione può essere ritrasmessa sulla catena principale e vi porta via i Bitcoin veri. Ogni transazione su Bitcoin o su LukeCoin permetterà di muovere gli stessi identici coin sulla chain parallela. se mandate 1 LukeCoin ad un amico, questo potrà rubarvi il bitcoin vero collegato a quello stesso UTXO.

🌟 Privacy

L'UTXO set é condiviso da entrambe le catene. Se avete un wallet non KYC con fondi coinjoinati ma consolidate tutti gli LukeCoin in una transazione avete appena distrutto la privacy anche dei vostri bitcoin onchain.

🌟 Scam wallets

Nei prossimi giorni spunteranno app e siti per "reclamare" le monete del fork. Il 90% di questi vorrà solo rubarvi il seed e fregarvi tutti i LukeCoin e Bitcoin veri.

Il consiglio più noioso è anche il migliore: non muovete nulla. Le monete che restano ferme non possono essere replayed, perché non esiste nessuna firma da copiare. Aspettate che la situazione si chiarisca 🧡

👉 Monitor della segnalazione: bip110.org/monitor
👉 Observer live dei fork fork.observer
👉 Guide e servizi nel mondo privacy e bitcoin

Buonsalve tartarughe 🐢

Oggi vi presento un servizio che uso da mesi e di cui non parlo abbastanza: PayPerQ

🌟 L'idea è semplice. Invece di pagare 20€ al mese di abbonamento a OpenAI o Anthropic, ricaricate un saldo e pagate a consumo. Potete ricaricare anche solo 10 centesimi per provare.

La parte a mio parere interessante è che per creare l'account non serve email, nome, numero di telefono. E supporta la ricatica con Bitcoin Lightning. Zero KYC, zero carta di credito, zero collegamento tra la vostra identità e quello che chiedete all'AI.

🌟 Dentro ci trovate quasi tutti i modelli seri in circolazione: Claude, GPT, Kimi, Gemini, DeepSeek, Mistral, generazione di immagini e video, ecc. In base alla difficoltà della domanda o del task potete usare modelli più economici o costosi in base al "livello di intelligenza" che vi serve.

🌟 La seconda cosa che me lo ha fatto amare è l'API. È compatibile con lo standard OpenAI, quindi basta cambiare endpoint e chiave e funziona praticamente ovunque. Io l'ho integrata dentro WisprBoard, la mia tastiera Android con dettatura vocale e correzione AI. Potete collegarla a OpenCode, l'alternativa open source a Claude Code e Codex per vibe codare progetti sul vostro pc.

In generale, se avete un progetto personale e vi serve "un cervello" che automatizzi qualcosa o vi dia una mano, con una API key lo collegate in meno di un minuto e cominciate ad automatizzare cose.

🌟 Ovviamente vale il buon senso di sempre: il modello che risponde è comunque (non sempre) quello di un azienda come OpenAI o Anthropic, quindi trattatelo come qualsiasi servizio online.

🌟 Se volete alzare l'asticella, PPQ ha una sezione di modelli Private che girano dentro TEE (Trusted Execution Environment). In pratica il prompt viene cifrato già nel vostro browser e si apre solo dentro un'enclave hardware isolata sul server, dove nemmeno chi amministra la macchina può guardarci dentro. Nemmeno PayPerQ vede cosa scrivete. Questa è la cosa più vicina a un'AI davvero privata senza doversi hostare un modello in locale.

Se volete provarlo, il link qui sotto è un referral: voi avete il 5% di sconto sulle ricariche, io ricevo dei crediti che spendo in AI. Lo dico chiaramente così sapete cosa state cliccando 🧡🙏

👉 PayPerQ con 5% di sconto