Vendas de Trezor, Onekey e Bitbox disparam em meio à crise dos cartões de segurança; modelos de segurança evoluem

Das 13 fabricantes de carteiras de hardware contatadas pelo Bitcoin.com News para comentar o assunto, a Trezor, a Bitbox e a Onekey confirmaram que suas vendas dispararam em agosto. A Ledger se recusou a comentar sobre suas vendas mensais, enquanto a Block, fabricante da Bitkey — empresa de capital aberto —, está sujeita a seus relatórios trimestrais.

Embora nenhuma das empresas tenha divulgado os números exatos, a Bitbox foi a mais específica, afirmando que suas vendas com cartão de crédito aumentaram cerca de dez vezes em comparação com a média das semanas anteriores. Isso não inclui vendas realizadas por meio de outros métodos de pagamento.

“Vimos um aumento nas vendas, principalmente provenientes da América do Norte, onde, presumivelmente, a Coldcard tinha sua maior presença”, disse o CEO da Bitbox, Douglas Bakkum, ao Bitcoin.com News.

Um sinal encorajador para a autocustódia

Enquanto isso, a Trezor afirmou que também observou um aumento nas vendas, principalmente nas vendas de seus produtos exclusivos para bitcoin. Embora a empresa não tenha especificado os números, seu chefe de segurança, Jan Komárek, destacou que esse aumento é um sinal encorajador para todo o setor de Bitcoin.

“Para nós, o ponto mais interessante é o que isso sugere: parece que as pessoas afetadas pela situação da Coldcard foram em busca de outra carteira de hardware, em vez de desistirem da autocustódia”, disse ele, acrescentando que essa é “a lição encorajadora: a resposta a um momento difícil foi manter o controle sobre suas próprias chaves, e não se afastar disso.”

No entanto, de acordo com analistas do setor, muitos usuários de carteiras de hardware enviaram seus fundos para corretoras de criptomoedas ou transferiram seu capital para ETFs, abandonando a autocustódia. Em ambos os casos, não está claro qual foi a magnitude dessa migração ou se foi apenas uma medida temporária antes que os usuários voltassem à autocustódia.

A Onekey, embora também tenha registrado um aumento nas vendas, observou que isso pode ter sido influenciado por outros fatores, incluindo os ciclos de vida individuais dos produtos. De acordo com a empresa, a crise da Coldcard gerou uma discussão muito mais ampla sobre questões de segurança das carteiras de hardware que geralmente passam despercebidas pelos usuários finais, como a geração de frases-semente.

No entanto, a vulnerabilidade no firmware da Coldcard gerou discussões e ações semelhantes não apenas entre os usuários finais, mas também entre os fabricantes de carteiras de hardware. Em primeiro lugar, o incidente levou as equipes a revisarem seus modelos de segurança atuais.

O que as carteiras já fizeram

A Trezor revisou sua própria geração de sementes especificamente contra o modo de falha que foi explorado no caso da Coldcard; a BitBox fez “uma nova análise detalhada” de seu próprio código do gerador de números aleatórios, enquanto a Onekey afirmou ter conduzido uma verificação adicional de ponta a ponta dos caminhos de entropia e geração de sementes em toda a sua linha de carteiras de hardware.

Conforme noticiado pelo Bitcoin.com News, separadamente e sem relação com a Coldcard, a BitBox divulgou e corrigiu seus próprios bugs de firmware em agosto deste ano. Nenhuma exploração foi relatada. Enquanto isso, no mesmo mês, a Trezor divulgou que quase 14.000 de seus clientes foram afetados por um vazamento de dados em um de seus fornecedores de serviços de remessa.

Em ambos os casos, a principal batalha de segurança ainda está por vir, à medida que as carteiras de hardware para bitcoin e outros ativos criptográficos se adaptam à nova realidade impulsionada pela IA.

Dois pontos a serem focados

“Os invasores já estão agindo na velocidade das máquinas, então precisamos fazer o mesmo para nos mantermos à frente deles”, disse Charles Guillemet, diretor de tecnologia (CTO) da Ledger, acrescentando que, atualmente, a defesa ainda se move mais lentamente do que os invasores. Pelo menos, segundo ele, o intervalo entre o lançamento de uma correção e sua exploração está diminuindo.

O diretor de tecnologia enfatizou que as empresas devem agora se concentrar em duas coisas: melhorar a divulgação e a educação dos usuários.

“Primeiro, a divulgação responsável precisa evoluir com correções mais rápidas, prazos de divulgação mais curtos e estratégias de migração que assumam que invasores capacitados e auxiliados por IA fazem parte do modelo de segurança, em vez de serem melhorias opcionais”, disse Guillemet ao Bitcoin.com News.

Além disso, segundo ele, ajudar as pessoas a entender as carteiras de hardware “será essencial para manter a segurança do setor”.

Atualize até mesmo seus eletrodomésticos

Na mesma linha, em suas “reflexões sobre as consequências do caso Coldcard”, os desenvolvedores da carteira Blockstream Jade recomendaram aos usuários de carteiras de hardware que mantenham seus softwares atualizados. A Blockstream Jade acaba de lançar uma atualização de firmware com várias correções. No entanto, segundo a equipe, além das carteiras de hardware, os usuários devem manter seus aplicativos, sistemas operacionais, dispositivos, roteadores e até mesmo eletrodomésticos atualizados.

“Manter a segurança é um processo contínuo, e você, como usuário, também deve participar”, enfatizaram, acrescentando que o bug da Coldcard foi “um caso infeliz em que os usuários não puderam se proteger por meio da atualização” de seus softwares e firmwares.

Enquanto isso, a Onekey acrescentou que a segurança das carteiras de hardware precisa ser construída com base em entropia e armazenamento de chaves respaldados por hardware, software de código aberto verificável, revisão de segurança independente, forte separação de componentes críticos para a segurança e verificação clara das transações voltada para o usuário.

“À medida que a IA reduz o custo da análise de software e da automação de ataques, o objetivo é garantir que a descoberta de uma única falha de implementação não seja suficiente para comprometer todo o modelo de segurança”, afirmou o fabricante da carteira.

Planos de segurança de curto, médio e longo prazo

As próprias empresas já estão implementando mudanças de segurança de curto, médio e longo prazo. Por exemplo, a Trezor, “em resposta direta às descobertas da Coldcard”, está adicionando “mais verificações de validade” à entropia gerada internamente pelo próprio dispositivo ao verificar se a entropia externa está realmente sendo utilizada.

“Além disso, nossa análise nos levou a fortalecer nossos testes internos e mecanismos de alerta em torno do gerador de teste inseguro, bem como a ampliar a forma como verificamos o caminho de chamada de cada fonte de entropia individual”, disse Komárek, observando que o gerador inseguro existe apenas para testes internos.

A empresa também está analisando relatórios de pesquisadores de segurança independentes e, a médio prazo, planeja um novo teste de penetração dos principais recursos do firmware, realizado por “uma agência de segurança externa bem conceituada”. Os relatórios de auditoria de segurança deverão ser divulgados publicamente.

“A longo prazo, nosso foco é nos anteciparmos aos ataques baseados em IA, em vez de reagirmos a eles”, disse o chefe de segurança, já que outros fabricantes de carteiras também enfatizaram que já estão usando IA para revisar seu código, além de programas de recompensa.

“Nosso laboratório de pesquisa Donjon (laboratório de hackers white hat) existe para tentar invadir nossos produtos antes que qualquer outra pessoa consiga, e internamente fazemos uso intensivo de LLMs para caçar vulnerabilidades em nossos próprios produtos”, acrescentou Guillemet, da Ledger.

A Onekey informou que agora está focada em reforçar as revisões de caminhos de código críticos para a segurança, compilações de firmware, geração de entropia e fluxos de assinatura de transações, enquanto, a médio prazo, seu foco será a verificação de transações, referindo-se à solução Clear Signing, relevante para muitos dos principais ativos criptográficos além do bitcoin.

Responsabilidade comum e novos bugs críticos

Enquanto isso, os pesquisadores de segurança da Block, fabricante da Bitkey, foram fundamentais para ajudar o setor de Bitcoin e carteiras de hardware durante a crise da Coldcard, pois se envolveram ativamente com a comunidade para compartilhar descobertas críticas e coordenar os esforços de resposta.

“Compartilhamos nossas descobertas de forma transparente tanto por meio de discussões públicas no X quanto por canais privados, pois acreditamos que, quando vulnerabilidades de segurança afetam o ecossistema, todos os fabricantes têm a responsabilidade de agir rapidamente”, afirmou a empresa ao Bitcoin.com News, acrescentando que as carteiras de hardware devem manter o controle sobre os principais modelos de segurança.

Enquanto escrevíamos este artigo, em 26 de agosto, começaram a circular relatos sobre outro “bug crítico em um grande fornecedor de carteiras de hardware”. Rob Segers, consultor de segurança de Bitcoin e fundador da Bitsaga, que encontrou o bug juntamente com “vários outros bugs de alta gravidade”, disse que o fornecedor não identificado confirmou esses bugs, “mas uma correção já está prevista para uma versão futura”.

Segundo Segers, a falha crítica foi encontrada no “firmware oficial do hardware, mas requer um software host malicioso” para roubar os fundos. Isso significa que a falha poderia ser explorada se um usuário, por exemplo, baixasse uma carteira falsa. Marek “Slush” Palatinus, cofundador da Trezor, confirmou que a falha relatada não diz respeito a essa carteira. Enquanto isso, Seger informou ter encontrado mais duas falhas, o que lhe rendeu críticas por espalhar pânico.

Fiquem seguros.