Decent Newsroom
Sign In

Il Gazzettino Cypherpunk #7

By tuma September 14, 2026
Il Gazzettino Cypherpunk #7

[Ciao, benvenuti al settimo episodio de Il Gazzettino Cypherpunk, la vostra fonte settimanale di news sullo sviluppo di Bitcoin, Nostr, e Freedom Tech!

Nella puntata di oggi parliamo delle ennesime vulnerabilità che hanno portato all’attacco di infrastrutture del mondo Bitcoin.

Parliamo anche di Cashu alla ricerca di un nuovo dev, i nuovi bindings per BDK e la nuova Tor VPN.

Mettetevi comodi!

Bitcoin ⛓️

Occhio al Phishing

Il provider email di Trezor e BitBox è stato bucato. Coloro che erano iscritti alle loro newsletter si sono visti recapitare delle mail che richiedono il controllo della propria seed phrase.

Questo attacco di phishing è stato reso molto realistico dal fatto che le mail siano state recapitate dal dominio reale delle due aziende. Ciò rende l’attacco molto pericoloso.

Si raccomanda di non inserire mai la propria seed phrase in servizi non conosciuti, soprattutto se spinti da mail che diano un senso di urgenza e paura.

Nuovi Bindings per BDK

Il Bitcoin Dev Kit (BDK) ha annunciato che presto sarà disponibile la nuova versione dei bindings, la v3.1. Questa nuova versione si porta in pari con l’ultima release delle librerie Rust.

Cosa sono i bindings? Sono sostanzialmente delle librerie che permettono di esportare lo stesso codice Rust – linguaggio di programmazione usato in BDK – ad altri linguaggi, come Python, Dart, Kotlin, Swift, e molti altri.

Uno dei bindings più interessanti è bdk-dart. Questa libreria sta per venire rilasciata ufficialmente con la versione v1.0.0 ed è già stata adottata da big del settore come Bull Bitcoin.

Lightning Network ⚡

Un Bug in AlbyHub

Questo mercoledì Alby ha annunciato la presenza di una vulnerabilità critica all’interno di AlbyHub, il software che permette di fare self-hosting e gestire in maniera semplice un nodo Lightning.

La vulnerabilità riguarda delle versioni antecedenti la v1.19.0 – nello specifico quelle dalla v1.7.0 alla 1.18.5. Questo bug critico riguarda quegli Hub che sono accessibili pubblicamente da internet. Un attaccante potrebbe essere in grado di accedere alle API di gestione del nodo, prendendone il controllo e rubando i fondi.

Questa vulnerabilità è presente solo per i nodi Alby Hub self-hostati. Quelli invece acquistati e fatti girare su Alby Cloud non sono a rischio.

Ecash 🥜

Cashu Cerca un Nuovo Sviluppatore

Calle sta cercando un nuovo sviluppatore Rust per il protocollo Cashu.

Il candidato ideale dovrebbe essere un “nerd della crittografia con una psicosi in corso causata dall’AI”. Calle ha anche aggiunto come vi sia la possibilità di ricevere un grant per lavorare full-time sul protocollo di ecash.

Liquid 💧

Hanno Hackerato (Anche) Liquid

Domenica scorsa una transazione on-chain ha scatenato il panico tra i bitcoiners. Questa transazione, infatti, trasferiva circa 4000 bitcoin (3988, per la precisione), dagli indirizzi gestiti da Blockstream a un indirizzo sconosciuto.

Questa transazione è chiamata “di peg-out”, in quanto permette di uscire dalla sidechain Liquid e spostare i fondi on-chain. Gli attaccanti hanno successivamente contattato l’azienda tramite un messaggio su unOP_RETURN dichiarandosi “whitehats” pronti a restituire i fondi nel momento in cui Blockstream avesse sistemato la vulnerabilità.

Da lì è iniziato uno scambio di altri messaggi su OP_RETURN criptati tramite chiavi PGP – lo sviluppatore Sjors ha pubblicato un gist per tenere traccia dei messaggi scambiati. Ad oggi, gli attaccanti hanno restituito una parte dei fondi sottratti, circa 3400 bitcoin, ma la diatriba con l’azienda sta ancora andando avanti, con Blockstream che sta cercando di recuperare anche i restanti 600.

Gli attaccanti hanno sfruttato un bug all’interno delle Confidential Transaction di Liquid, una funzionalità che permette a chi invia di mascherare, anche ai validatori, la quantità di fondi all’interno di una transazione. Proprio perchè l’ammontare dei fondi è nascosto, i validatori di Liquid devono fare dei controlli per essere sicuri che non vengano creati nuovi L-BTC dal nulla, andando ad inflazionare la quantità disponibile. Per fare ciò, vengono eseguiti due check. Il primo si chiama “balance proof”, e controlla che i fondi in input siano uguali ai fondi in output. Il secondo si chiama “range proof” e controlla che nella transazione non vi siano output negativi, cioè che non vengano creati nuovi L-BTC.

Questo secondo controllo è pesante dal punto di vista computazionale. I validatori, quindi, calcolano la “range proof” una volta sola, salvandosi il risultato nella loro memoria cache sotto un ID, chimato cache key. Invece di rifare il check sulla transazione, i validatori calcolano la cache key e, se già presente in memoria, saltano la “range proof”.

Gli attaccanti hanno sfruttato questo meccanismo. Hanno prima inviato una transazione valida e hanno poi creato una seconda transazione – questa volta invalida – con la stessa cache key di quella corretta. I validatori hanno quindi saltato il check sulla transazione invalida, permettendo così agli attaccanti di creare 4000 L-BTC dal nulla.

Nostr 🟣

ngit Version 3

Questa settimana è stata lanciata la versione 3 di ngit, il protocollo che combina Nostr e Git con l’obiettivo di decentralizzare la distribuzione e la gestione del codice open-source.

Insieme a ngit sono state rilasciate anche le nuove versioni di GRASP, il relay nostr che permette il self-hosting dei propri repository, e di GitWorkshop, l’interfaccia web per gestire i propri repository.

Freedom Tech ⛓️‍💥

Tor VPN

Tor Project ha annunciato il rilascio in beta di un nuovo tool di protezione privacy, Tor VPN. L’app è al momento disponibile solo su Android in modo da poter essere usata dal maggior numero di persone possibili, soprattutto in quei luoghi dove la censura è ai suoi massimi.

L’idea dietro a questa nuova VPN è quella di rendere privato non solo l’utilizzo di internet tramite browser, ma anche il suo utilizzo all’interno delle varie app. Per saperne di più vi consiglio la lettura del blog di Tor Project.

Letture Interessanti 📰

Gli articoli più interessanti che ho letto questa settimana.

Questo è tutto per questa settimana, grazie per aver letto Il Gazzettino Cypherpunk!

Mi raccomando! Se avete qualsiasi feedback o curiosità non esitate a scrivere nei commenti. Se pensate che a qualcuno, invece, possa interessare la newsletter, condividetela!

Alla prossima settimana e buona grigliata!

Tuma

Vorresti conoscere e chiacchierare con i migliori sviluppatori Bitcoin? Allora vieni a Berlino per Bitcoin++ - Payments Edition! La conferenza si terrà nei giorni 1-3 ottobre. Ci vediamo lì? Per voi anche un 20% di sconto!

Write a comment