A exploração do Coldcard explicada: quem perdeu bitcoins e quem está em risco

De acordo com uma análise aprofundada da Galaxy Research, o roubo principal ocorreu em uma onda altamente coordenada que durou cerca de 25 minutos, enquanto uma análise mais ampla posteriormente relacionou aproximadamente 1.196 endereços e até 1.083 bitcoins, avaliados em quase US$ 70 milhões, a uma atividade que se estendeu por aproximadamente 41 minutos. Os números finais podem mudar à medida que os investigadores continuam rastreando as transações na blockchain pública do Bitcoin.

Um bug de 5 anos atinge carteiras de Bitcoin em todo o mundo

As carteiras afetadas pertenciam, em grande parte, a detentores de longo prazo que geraram suas sementes de recuperação usando dispositivos Coldcard com firmware vulnerável lançado a partir de março de 2021. A Coldcard é uma carteira de hardware isolada fisicamente, fabricada pela empresa canadense Coinkite e projetada para manter as chaves de bitcoin (BTC) isoladas de dispositivos conectados à internet.

Muitos dos endereços esvaziados permaneciam inativos há anos. O invasor agiu rapidamente, pagou taxas de transação fixas elevadas e não deixou saídas de troco, o que significa que cada endereço foi esvaziado completamente. Esse padrão sugeriu uma operação automatizada utilizando uma lista pré-preparada de chaves privadas, em vez de clientes movimentando seus fundos de forma independente.

O roubo não foi causado por phishing, malware no computador de um usuário, roubo físico do dispositivo ou uma violação remota convencional. Em vez disso, um erro de firmware enfraqueceu a aleatoriedade utilizada quando alguns dispositivos Coldcard criavam sementes de carteira. Essas sementes pareciam normais, mas provinham de um intervalo muito menor de combinações possíveis do que havia sido prometido aos usuários.

O gerador de números aleatórios da Coldcard falhou discretamente

Uma semente de carteira de Bitcoin é um segredo, geralmente exibido como 12 ou 24 palavras, a partir do qual a carteira gera seus endereços e chaves privadas. Uma semente de 12 palavras gerada corretamente contém 128 bits de entropia, uma medida técnica que descreve um número enorme de combinações possíveis, o que torna praticamente impossível adivinhar a semente.

Os dispositivos Coldcard deveriam obter essa aleatoriedade a partir de um gerador de números aleatórios de hardware dentro do microcontrolador do dispositivo. O componente se baseia no ruído elétrico físico que um observador externo não deveria ser capaz de prever.

No entanto, durante uma migração da biblioteca de software em 2021, a Coinkite revelou que duas funções de números aleatórios com interfaces idênticas foram confundidas. Uma acessava o gerador de hardware adequado do dispositivo. A outra era um recurso alternativo de software fraco, destinado a placas sem hardware adequado.

Uma configuração desativou o caminho padrão de hardware do MicroPython porque a Coinkite forneceu seu próprio wrapper de hardware. O software verificava apenas se essa configuração existia, e não se ela estava ativada. Como a configuração estava presente, mas tinha o valor zero atribuído, a compilação foi concluída com sucesso, enquanto a geração da semente mudou silenciosamente para o gerador de software mais fraco.

Dados de fábrica e temporização substituíram a aleatoriedade verdadeira

Esse recurso de fallback dependia fortemente de informações previsíveis do dispositivo, incluindo um identificador de chip semelhante a um número de série e valores do relógio interno associados ao tempo de inicialização. Um invasor capaz de restringir essas entradas enfrentaria uma busca muito menor do que o intervalo de 128 bits esperado de uma semente gerada com segurança.

A Coinkite estimou o espaço de busca efetivo para sementes Mk3 vulneráveis em cerca de 40 bits, com base nas premissas atuais. Esse ainda é um grande número de possibilidades, mas pode ser pesquisado com equipamentos de computação especializados, especialmente quando um invasor pode comparar sementes candidatas com endereços de bitcoin visíveis na blockchain.

Modelos posteriores do Coldcard, incluindo o Mk4, o Q e o Mk5, adicionaram algum elemento de aleatoriedade a partir de um elemento seguro. No entanto, apenas uma parte limitada chegava ao gerador afetado, deixando uma entropia efetiva estimada em 72 bits nas sementes criadas antes da instalação do firmware corrigido. Isso era mais robusto do que o caminho do Mk3, mas ainda abaixo do padrão pretendido de 128 bits.

A diferença é semelhante a substituir uma combinação de fechadura verdadeiramente aleatória por uma derivada do número de série da fechadura e da hora em que ela foi ligada pela primeira vez. A combinação resultante pode parecer aleatória, mas alguém que conheça a fórmula e consiga estimar as informações iniciais pode reproduzi-la. Muitos usuários estão migrando, não apenas dos dispositivos Mk3, mas também dos modelos Mk4, Q e Mk5.

A Coinkite orienta os usuários a criarem sementes totalmente novas

A Coinkite divulgou alertas de segurança e corrigiu o firmware após tomar conhecimento da ameaça ativa. A empresa informou que os usuários que geraram sementes no firmware afetado devem criar uma semente totalmente nova usando uma versão corrigida e transferir seus bitcoins para endereços controlados por essa semente.

Apenas instalar a atualização não é suficiente. Uma semente criada no sistema com falha permanece vulnerável permanentemente, pois a atualização do firmware não pode adicionar aleatoriedade às palavras que já existem.

A Coinkite recomendou que os usuários atualizem seus dispositivos, criem uma nova semente, verifiquem o backup e a impressão digital da carteira, confirmem o endereço de destino, enviem uma pequena transação de teste e, em seguida, transfiram o saldo restante. Os usuários devem manter o backup antigo até que a transferência seja confirmada, mas não devem mais considerar a semente antiga como segura.

A empresa identificou versões corrigidas, incluindo a Mk3 versão 4.2.0 ou posterior, a Mk4 e a Mk5 versão 5.6.0 ou posterior, e a Q versão 1.5.0Q ou posterior, juntamente com as versões correspondentes do Edge. Os produtos Tapsigner, Opendime e Satscard utilizam códigos diferentes e, segundo relatos, não foram afetados.

Segurança adicional protegeu alguns proprietários de Coldcard

Os usuários que adicionaram um número suficiente de lançamentos independentes de dados ao gerar uma semente ficaram substancialmente protegidos, pois sua própria aleatoriedade superou a entrada defeituosa do software. A Coinkite afirmou que pelo menos 50 lançamentos privados de um dado imparcial proporcionaram proteção adequada contra esse problema, embora lançamentos adicionais possam oferecer uma margem de segurança maior.

Uma senha forte baseada no BIP-39 também cria uma carteira separada que não pode ser reconstruída apenas a partir das palavras-semente. Carteiras com assinatura múltipla, que exigem chaves de vários dispositivos ou locais antes que o bitcoin possa ser movimentado, estavam amplamente ou totalmente protegidas quando a semente vulnerável do Coldcard representava apenas uma parte do esquema de assinatura.

Essas medidas de segurança eram opcionais, no entanto. Muitas vítimas parecem ter seguido as recomendações de segurança padrão disponíveis na época: comprar uma carteira de hardware de confiança, gerar a semente offline, proteger o backup e nunca inseri-la em um dispositivo conectado à internet.

Coinkite assume a culpa enquanto o debate se volta para a IA

O CEO da Coinkite, Rodolfo Novak, amplamente conhecido como NVK, pediu desculpas publicamente em 31 de julho e afirmou que a empresa assumia total responsabilidade pela falha no firmware. “Sinto muito e estou arrasado. Nossa equipe está de coração partido com as notícias de ontem”, escreveu Novak. Ele reconheceu que a correção provisória protege as sementes recém-criadas, mas não consegue reparar as sementes geradas por um software vulnerável.

Novak explicou que a Coinkite publicaria um relatório técnico completo após verificar os detalhes e auxiliaria os usuários afetados que buscassem boletins de ocorrência, pedidos de indenização de seguro ou investigações independentes. Ele também alertou os desenvolvedores de que ferramentas de inteligência artificial (IA) agora podem analisar códigos públicos antigos em busca de vulnerabilidades ocultas mais rapidamente do que os processos tradicionais de revisão seriam capazes de detectá-las.

A Coinkite enfatizou que deve presumir que um invasor usou IA para inspecionar seu firmware de código aberto, embora nenhuma evidência tenha comprovado como a falha foi descoberta. A empresa também reconheceu que uma revisão recente realizada com um modelo líder de IA não conseguiu identificar o problema. Vários fabricantes concorrentes de carteiras de hardware recorreram às redes sociais para informar que seus produtos não foram afetados.

“A Ledger não foi afetada pelo comunicado sobre o Coldcard Mk3 publicado recentemente”, informou a empresa aos usuários do X após o incidente com o Coldcard. “Os dispositivos Ledger utilizam um Gerador de Números Aleatórios Verdadeiros (TRNG) certificado, integrado diretamente ao nosso chip Secure Element, gerando 256 bits completos de entropia para cada Frase Secreta de Recuperação de 24 palavras.”

“Usuários do Trezor: seus fundos estão seguros”, explicou a fabricante de carteiras de hardware Trezor na sexta-feira. “O recente problema com a Coldcard se limita ao firmware personalizado da empresa e à forma como alguns de seus dispositivos geravam aleatoriedade. A Trezor não compartilha esse código.”

A conta do Trezor X acrescentou:

“Sempre combinamos várias fontes independentes de aleatoriedade (hardware do dispositivo + host + elementos seguros nos modelos mais recentes). Lamentamos sinceramente por todos que perderam bitcoins.”

O que os usuários da Coldcard devem observar a seguir

A identidade do invasor permanece desconhecida, e os bitcoins roubados podem ser transferidos de seus endereços de consolidação a qualquer momento. Os investigadores ainda estão trabalhando para determinar quantas sementes vulneráveis foram realmente geradas, quanto de bitcoin permanece exposto e se outras carteiras de alto valor já foram identificadas pelo invasor. No entanto, a Coinkite pode não ter muitas informações sobre proprietários de muito tempo atrás.

“Uma faca de dois gumes: a Coinkite apaga todos os registros de seus clientes após 120 dias para se proteger contra violações de dados”, relatou o cofundador da Casa, Jameson Lopp, no X. “O que significa que eles não conseguem entrar em contato com os clientes que compraram coldcards vulneráveis nos últimos 5 anos para alertá-los sobre essa vulnerabilidade.”

O incidente também testará se a Coinkite conseguirá restaurar a confiança no Coldcard e se os fabricantes de carteiras de hardware adotarão análises independentes mais rigorosas da geração de sementes. Para os usuários, a prioridade imediata é mais simples: qualquer pessoa que tenha criado uma semente em um firmware afetado sem entropia de dados independente robusta, uma senha ou proteção por assinaturas múltiplas deve considerá-la comprometida e transferir os fundos com cuidado para uma carteira recém-gerada.

Além do roubo devastador, os usuários de bitcoin em toda a comunidade estão soando o alarme e incentivando outros a divulgar a informação antes que mais carteiras vulneráveis sejam esvaziadas.