🚨 Attenzione se usate Coldcard

Nelle ultime ore sono emerse segnalazioni di wallet Coldcard svuotati. L’analisi del firmware ha individuato un problema nella generazione dell’entropia, poi confermato da un advisory di Coinkite.

🌟 Cosa è successo

Quando create un wallet, il dispositivo genera la casualità da cui deriva il seed. Se questa casualità è prevedibile, anche il seed può diventarlo.

A causa di un errore di compilazione, alcune versioni del firmware Coldcard non usavano correttamente il generatore hardware. Il sistema ripiegava su un generatore software alimentato da valori fissi o ricostruibili, come il numero di serie del chip e alcuni orologi interni.

🌟 Quali modelli sono coinvolti

Mk2 e Mk3 con firmware 4.0.1 o successivo rappresentano il caso più grave: il seed veniva generato senza entropia crittografica e risultava, di fatto, deterministico.

Mk4, Q e Mk5 includono una correzione introdotta nel 2022, ma ricevono dal generatore soltanto 4 byte di entropia. Lo spazio di ricerca è quindi pari a 2³², alla portata di hardware specializzato.

Coinkite dichiara questi modelli non vulnerabili, mentre Block sostiene il contrario. In attesa di una revisione tecnica completa, tratterei anche questi seed come potenzialmente non sicuri.

Conta il firmware usato per generare il seed, non la data di acquisto del dispositivo. Aggiornare oggi non mette al sicuro un seed già creato. Lo stesso vale se quel seed è stato importato su un altro wallet.

🌟 Chi è meno esposto

- Chi ha generato il seed con i dadi, perché questo metodo non dipende dal generatore del dispositivo.
- Chi ha usato una passphrase BIP39 davvero forte. Il rischio si riduce molto, ma migrare resta una precauzione sensata.
- Chi ha creato il seed su un altro dispositivo.
- Chi usa un multisig, purché le chiavi potenzialmente compromesse non siano sufficienti a raggiungere il quorum.

⚠️ Se dovete migrare, fatelo con calma

La fretta può causare più danni del bug.

Generate un nuovo seed e verificate il backup prima di spostare i fondi. Controllate l’indirizzo di ricezione sullo schermo del dispositivo, non soltanto sul computer. Inviate prima una piccola transazione di prova e aspettate la conferma.

Solo dopo trasferite il resto. Conservate il vecchio backup finché tutte le transazioni non sono state confermate.

🎲 Il consiglio resta lo stesso

Generate il seed con i dadi. In questo modo l’entropia dipende da voi, non dal firmware o dall’hardware scelto dal produttore.

👉Guida: https://turtlecute.org/seed
👉 Advisory Coinkite
👉 Report tecnico Block

Stay safe 🧡

🐢 Buonsalve tartarughe, e purtroppo si riapre con una brutta notizia. In questi giorni ne stiamo collezionando parecchie.

Boltz ha disabilitato gli swap fino a nuovo avviso 👉 https://x.com/boltzhq/status/2084311537502630319

🌟 Non è colpa di un singolo attacco. Nei mesi scorsi hanno visto una crescita costante di probing automatizzato e assistito da AI contro la loro infrastruttura, con diversi exploit subiti e contenuti. Negli ultimi giorni un'accelerazione drastica, con più gruppi organizzati che li prendevano di mira. A quel punto hanno deciso che non potevano responsabilmente riaccendere il servizio.

🌟 Nessun fondo utente è mai stato a rischio, Boltz era non custodial per design. Le perdite se le sono prese interamente loro, che tra l'altro sono bootstrapped, senza VC alle spalle. Rispetto enorme per la trasparenza con cui hanno comunicato tutto.

🌟 L'API resta attiva per i rimborsi cooperativi e i refund unilaterali funzionano comunque, perché non dipendono dalla loro infrastruttura. Se avete swap in sospeso, muovetevi ora.

Personalmente lo considero uno dei migliori tool usciti nell'ecosistema negli ultimi anni: no-KYC, open source, via Tor, e soprattutto trustless e atomico, quindi nessuno poteva rubarvi niente. Se la sospensione diventasse definitiva (molto molto molto probabile) sarebbe una perdita seria per Bitcoin e per Lightning 🧡

🌟 Loro dicono di non sapere ancora come proseguirà e che aggiorneranno appena avranno ripreso fiato. Speriamo tornino, e nel frattempo speriamo che qualcuno raccolga il testimone, perché il codice è lì, aperto e open.

👉 Guide, tool e servizi privacy oriented

🐢 Buonsalve tartarughe, stasera si terminerà la segnalazione opzionale di BIP110 e ci saranno un po' di cose a cui prestare attenzione:

🌟 Al blocco 961.632, atteso intorno alle 22:30, i nodi che applicano BIP-110 inizieranno a rifiutare tutti i blocchi che non segnalano il supporto alla proposta. Il problema è che la segnalazione dei miner sta a circa il 2,6% contro una soglia del 55%, quindi quei nodi si ritroveranno a rifiutare la catena su cui sta lavorando praticamente tutto l'hashrate mondiale.

Tradotto: possibile chain split, con una catena minoritaria lentissima. Le restrizioni vere e proprie di BIP-110 si attiverebbero solo intorno al blocco 965.664, quindi a inizio settembre.

In caso di chain split ci sono 3 cose a cui prestare estrema attenzione:

🌟 La mancanza di replay protection

Quest'ultima è quel meccanismo che rende una transazione firmata valida su una sola delle due catene. Qui non c'è. Significa che se firmate una transazione per vendere le "monete gratis" del fork, la stessa identica transazione può essere ritrasmessa sulla catena principale e vi porta via i Bitcoin veri. Ogni transazione su Bitcoin o su LukeCoin permetterà di muovere gli stessi identici coin sulla chain parallela. se mandate 1 LukeCoin ad un amico, questo potrà rubarvi il bitcoin vero collegato a quello stesso UTXO.

🌟 Privacy

L'UTXO set é condiviso da entrambe le catene. Se avete un wallet non KYC con fondi coinjoinati ma consolidate tutti gli LukeCoin in una transazione avete appena distrutto la privacy anche dei vostri bitcoin onchain.

🌟 Scam wallets

Nei prossimi giorni spunteranno app e siti per "reclamare" le monete del fork. Il 90% di questi vorrà solo rubarvi il seed e fregarvi tutti i LukeCoin e Bitcoin veri.

Il consiglio più noioso è anche il migliore: non muovete nulla. Le monete che restano ferme non possono essere replayed, perché non esiste nessuna firma da copiare. Aspettate che la situazione si chiarisca 🧡

👉 Monitor della segnalazione: bip110.org/monitor
👉 Observer live dei fork fork.observer
👉 Guide e servizi nel mondo privacy e bitcoin

Buonsalve tartarughe 🐢

Oggi vi presento un servizio che uso da mesi e di cui non parlo abbastanza: PayPerQ

🌟 L'idea è semplice. Invece di pagare 20€ al mese di abbonamento a OpenAI o Anthropic, ricaricate un saldo e pagate a consumo. Potete ricaricare anche solo 10 centesimi per provare.

La parte a mio parere interessante è che per creare l'account non serve email, nome, numero di telefono. E supporta la ricatica con Bitcoin Lightning. Zero KYC, zero carta di credito, zero collegamento tra la vostra identità e quello che chiedete all'AI.

🌟 Dentro ci trovate quasi tutti i modelli seri in circolazione: Claude, GPT, Kimi, Gemini, DeepSeek, Mistral, generazione di immagini e video, ecc. In base alla difficoltà della domanda o del task potete usare modelli più economici o costosi in base al "livello di intelligenza" che vi serve.

🌟 La seconda cosa che me lo ha fatto amare è l'API. È compatibile con lo standard OpenAI, quindi basta cambiare endpoint e chiave e funziona praticamente ovunque. Io l'ho integrata dentro WisprBoard, la mia tastiera Android con dettatura vocale e correzione AI. Potete collegarla a OpenCode, l'alternativa open source a Claude Code e Codex per vibe codare progetti sul vostro pc.

In generale, se avete un progetto personale e vi serve "un cervello" che automatizzi qualcosa o vi dia una mano, con una API key lo collegate in meno di un minuto e cominciate ad automatizzare cose.

🌟 Ovviamente vale il buon senso di sempre: il modello che risponde è comunque (non sempre) quello di un azienda come OpenAI o Anthropic, quindi trattatelo come qualsiasi servizio online.

🌟 Se volete alzare l'asticella, PPQ ha una sezione di modelli Private che girano dentro TEE (Trusted Execution Environment). In pratica il prompt viene cifrato già nel vostro browser e si apre solo dentro un'enclave hardware isolata sul server, dove nemmeno chi amministra la macchina può guardarci dentro. Nemmeno PayPerQ vede cosa scrivete. Questa è la cosa più vicina a un'AI davvero privata senza doversi hostare un modello in locale.

Se volete provarlo, il link qui sotto è un referral: voi avete il 5% di sconto sulle ricariche, io ricevo dei crediti che spendo in AI. Lo dico chiaramente così sapete cosa state cliccando 🧡🙏

👉 PayPerQ con 5% di sconto

🐢 Buonsalve tartarughe, oggi torniamo un po' su temi Linux: per gli amanti del distro hopping c'è un nuovo progetto di cui non si smette di parlare da settimane.

Si tratta di Omarchy, una distribuzione Linux "opinionated", ovvero una base Arch arricchita e modificata secondo le idee del suo creatore.

🌟 La cosa per cui si distingue è sicuramente la qualità e l'attenzione ai dettagli con cui viene rilasciata: i principali tool classici come cd e ls sono tutti sostituiti da piccoli comandi potenziati (per esempio cd è sostituito da Zoxide, tool eccezionale che uso da anni).

🌟 Il sistema è configurato di default con temi dinamici esteticamente molto belli, che si adattano completamente a tutto: dalle shell ai menu, sempre in un'organizzata eleganza.

🌟 Utilizza di default Hyprland, un tiling manager complesso per chi è alle prime armi, ma che permette di usare il pc senza quasi mai toccare il mouse, con efficienza e velocità assolute.

🌟 Personalmente la uso da due settimane e ne sono innamorato: apprezzo molto l'estetica, l'usabilità e le piccole attenzioni ai settings preconfigurati, come per esempio il disco criptato di default con LUKS per la massima sicurezza.

È un sistema per tutti? No.

🌟 A volte la curva di apprendimento è più lenta rispetto ad altri OS, è basata su Arch, quindi estremamente rolling e con occasionali possibili problemi (ma anche con tutti i pregi del caso, dalla compatibilità driver alle performance).

🌟 Se sei un utente avanzato o uno smanettone te la consiglio caldamente. Per chi vuole minimizzare trust e superficie di attacco è comunque possibile ricreare un setup simile partendo da Arch (o altre distro), senza affidarsi a una opinionated, ma personalmente mi ha molto colpito in positivo (pur anche se con i suoi difetti)🙏

Buonsalve tartarughe 🐢

Oggi è uscita l'ultima puntata di "Quello che i Bitcoiner non dicono", la serie di Atlas21 sulla vita personale dei bitcoiner italiani.

Ho avuto la fortuna di essere invitato dal buon Federico Rivi per oltre tre ore e mezza di chiacchiere. Se volete sapere qualcosa in più su di me, o semplicemente avere un po' di compagnia in questo noioso martedì lavorativo, vi lascio i link ai due episodi!

Primo episodio

😊 Youtube
🎏 Spotify

Secondo episodio

😊 Youtube
🎏 Spotify

Buonsalve tartarughe 🐢

Non avete mai usato l'AI, o l'avete usata poco e male? Oppure ci smanettate già da un po'? In entrambi i casi vi lascio 5 consigli molto rapidi che secondo me fanno davvero la differenza.

Premessa: è un mondo che cambia a una velocità assurda. Ad oggi i principali modelli vanno più o meno tutti bene e ha senso provarli, ma a mio parere Claude al momento è il più solido 🧡

🌟 1. Lasciate perdere le versioni web

Le chat nel browser vanno bene per domande veloci, ma non sono interattive e reggono male i processi lunghi e "agentici" (quelli in cui l'AI lavora da sola per molti passaggi). Se volete fare sul serio usate tool come Claude Code, Codex o simili, che lavorano direttamente sui vostri file e sul vostro PC.

🌟 2. Il modo migliore per imparare l'AI è chiedere all'AI

Sembra banale, ma è così. Siete preoccupati dei permessi che ha Claude sul vostro sistema? Chiedete direttamente a Claude come limitarne accessi e permessi. Non sapete come mettere in piedi un'app in Docker sul vostro server? Chiedetegli il modo migliore e più efficiente per buildarla, deployarla e spostarla.

🌟 3. Personalizzatela con CLAUDE.md o AGENTS.md

C'è qualcosa che non vi piace? Risposte troppo lunghe, tende a complicarsi la vita, spiega troppo poco? Esistono dei file chiamati CLAUDE.md (per Claude) o AGENTS.md (generalista per le AI) dove scrivere tutte le vostre preferenze: quanti agenti usare in parallelo su un progetto, come volete ricevere l'output, quanto devono essere lunghe le risposte, come implementare i progetti. Potete anche farvene generare uno predefinito e poi modificarlo.

🌟 4. Usate (e create) le vostre skill

Le skill sono semplicemente dei file in cui si spiega, passo per passo, come svolgere un compito specifico. Funzionano su tutte le principali AI (Claude, Codex, Grok, ecc) e servono per le cose che l'AI "di serie" non sa fare come volete voi. Qualche esempio:

• scrivere un post per Privacy Folder 😏
• inserire le buste paga nel gestionale specifico del vostro lavoro
• partire dagli ingredienti che avete in frigo e proporvi una ricetta sui vostri gusti

Si possono fare anche cose parecchio complesse, tipo dare a Claude accesso a un account Telegram e spiegargli come farvi ogni giorno un report di cosa è successo nelle chat (qui occhio a quali permessi date, vedi punto 2).

Ne trovate tantissime già pronte online, oppure potete crearle voi parlando direttamente con l'AI. Se le scaricate da sconosciuti leggetele sempre prima di installarle, per essere sicuri che non contengano prompt malevoli o problemi di sicurezza 🔒

🌟 5. Tip per utenti esperti: tenete aggiornate le vostre skill

Questo è specifico per Claude. Molte skill e configurazioni sono state scritte magari un anno fa, e in un anno l'AI è cambiata tantissimo: istruzioni che prima servivano oggi possono essere inutili o addirittura peggiorare i risultati.

Usando claude code esiste un tool specifico proprio per questo:

/claude-api prompt-audit

Claude fa una review delle vostre skill, prompt e descrizioni dei tool, trova le istruzioni obsolete per il modello attuale e vi propone le modifiche.

👉 A breve andró via per varie conferenze, se avete bisogno di SIM no KYC, ordinatele in questo weekend o le potrò spedire solo da novembre.

Le Guide essendo digitali possono essere sempre acquistate senza ritardi di consegna.