A Equipe Vermelha do Bitcoin identifica 4.962 falhas após o ataque ao Coldcard

Uma resposta à exploração da Coldcard

A vulnerabilidade na carteira de hardware Coldcard resultou na perda de bitcoins (BTC) de detentores de longo prazo após um bug no firmware que remonta a março de 2021. As perdas ultrapassaram US$ 116 milhões, envolvendo mais de 1.800 BTC retirados de mais de 5.200 endereços.

Esse episódio motivou uma iniciativa voluntária chamada Bitcoin Red Team, liderada pelo desenvolvedor de BTC Calle, ao lado de Rob Hamilton, CEO da Anchorwatch, seguradora especializada em autocustódia. Eles lançaram uma auditoria de emergência no ecossistema de código aberto mais amplo do bitcoin para testar se outras carteiras e bibliotecas de código amplamente utilizadas compartilham vulnerabilidades semelhantes àquela que prejudicou os usuários da Coldcard.

Dezesseis pesquisadores de segurança passaram 27,5 horas vasculhando 390 repositórios de código aberto do bitcoin, combinando análises assistidas por inteligência artificial (IA) com revisão manual. A equipe registrou um total de 4.962 descobertas de segurança, incluindo 85 classificadas como críticas e 635 com gravidade alta (uma média de 2,31 descobertas de gravidade alta ou crítica por pesquisador, por hora).

O financiamento para o sprint veio da Opensats, uma organização sem fins lucrativos que apoia o desenvolvimento de código aberto do bitcoin, que contribuiu com cerca de US$ 40.000 para apoiar o trabalho dos pesquisadores. Calle descreveu o estado da segurança do ecossistema como “extremamente ruim”.

Analistas que acompanharam a auditoria em tempo real observaram que apenas cerca de uma em cada cinco falhas havia sido reproduzida de forma independente até o momento, mostrando que muitas das questões sinalizadas ainda precisam de confirmação antes que os desenvolvedores possam ter certeza de sua gravidade no mundo real.

Onde as falhas estão concentradas

As ferramentas de privacidade e coinjoin (softwares projetados para ocultar o rastro das transações de bitcoin na cadeia de blocos) representaram a maior concentração de problemas graves, correspondendo a 24% das descobertas críticas, apesar de constituírem uma parcela menor do total de projetos analisados. As bibliotecas criptográficas, por outro lado, geraram o maior número bruto de descobertas, 1.101, mas apenas 10% delas foram classificadas como de alta gravidade, o que sugere que o código é, em geral, mais maduro, mesmo sendo alvo do maior escrutínio por parte dos pesquisadores.

A maioria dos 390 projetos analisados apresentava poucos ou nenhum problema crítico; o verdadeiro perigo parecia estar concentrado em um conjunto menor de ferramentas que lidam com a geração de chaves privadas, assinatura e transações que preservam a privacidade — a mesma categoria de software na origem da falha original do Coldcard que deu início a todo esse esforço.

O momento em que essas falhas foram reveladas é importante, já que a cultura de autocustódia do bitcoin passou as últimas duas semanas assimilando a magnitude das perdas do Coldcard, sendo que somente os usuários canadenses representam cerca de um quarto dos fundos roubados.

O futuro precisa ser avaliado

A Bitcoin Red Team observou que a auditoria é a primeira fase de um esforço contínuo, e não um evento pontual, com planos de analisar o acúmulo de descobertas, confirmar quais vulnerabilidades são genuinamente exploráveis e coordenar a divulgação responsável com os projetos afetados antes que quaisquer detalhes sejam tornados públicos.

Para uma cultura de autocustódia que ainda está assimilando a magnitude das perdas da Coldcard, a auditoria serve também como evidência de que os pesquisadores “white-hat” estão agora avançando em um ritmo mais próximo ao dos invasores.