O ataque à Coldcard já atingiu US$ 116 milhões. A quarta onda ainda continua causando prejuízos

Quatro ondas em quatro dias

O que começou como um roubo estimado em US$ 30 milhões mais que triplicou em menos de uma semana. O Bitcoin.com News foi o primeiro a noticiar a exploração assim que ela surgiu, com o valor aumentando a cada nova onda de transações que os invasores retiraram das carteiras geradas pelo Coldcard: de uma explosão inicial que movimentou US$ 30 milhões nos primeiros dez minutos, para cerca de US$ 75 milhões após uma segunda onda, até quase US$ 89 milhões à medida que o roubo se espalhou para 4.500 endereços.

O valor agora está em aproximadamente US$ 116 milhões, distribuídos por 1.816 BTC retirados de mais de 5.200 endereços individuais. A Galaxy Research, que acompanhou a exploração em tempo real, confirmou uma quarta onda em 3 de agosto que, sozinha, movimentou cerca de 449 BTC após correções nos valores anteriores.

O diretor da empresa, Alex Thorn, descreveu a atividade mais recente como uma provável “quarta onda organizada” de roubos, apontando para uma taxa de varredura de 13,8 transferências por bloco, em comparação com uma janela de controle pré-incidente de apenas 0,3 transferências por bloco — ou cerca de 45 vezes a atividade normal de referência.

A análise de Thorn sugere que o padrão aponta para vários grupos agindo em paralelo no espaço de chaves vulnerável, em vez de um único invasor expandindo metodicamente sua operação — um detalhe importante, pois implica que o roubo pode continuar em surtos, à medida que diferentes agentes descobrem, de forma independente, quais endereços permanecem expostos.

Por que a falha nos números aleatórios é importante

A causa raiz remonta a antes desta semana, já que uma atualização de firmware de 2021 para certos dispositivos Coldcard mudou o processo de geração de sementes da carteira de uma fonte robusta de aleatoriedade baseada em hardware para um padrão de software que acabou se revelando previsível, o que significa que qualquer semente de carteira criada no firmware afetado poderia, em teoria, ser adivinhada em vez de ser descoberta por força bruta.

Durante a confusão inicial, ZachXBT se recusou a ajudar a rastrear os fundos roubados, deixando vítimas e pesquisadores independentes em uma corrida contra os invasores, que já sabiam exatamente quais endereços estavam vulneráveis.

Essa vantagem inicial é o motivo pelo qual as maiores carteiras foram atingidas primeiro. Os invasores visaram os maiores saldos poucos minutos após a exploração se tornar ativa e, em cerca de 25 minutos, já haviam retirado centenas de bitcoins de carteiras de assinatura única antes que a maioria dos titulares tivesse qualquer indício de que seus fundos estavam em risco.

Todos os endereços comprometidos remontam a sementes de carteiras geradas após o lançamento do firmware com falha, em março de 2021, o que significa que a vulnerabilidade existia há mais de cinco anos, discretamente, até que alguém a descobriu e começou a explorá-la neste mês.

A resposta da Coinkite e o que vem a seguir

A Coinkite, fabricante canadense por trás do Coldcard, reconheceu diretamente a magnitude do dano. Em um comunicado abordando os roubos em andamento, a empresa afirmou “os últimos três dias foram alguns dos mais difíceis da história desta empresa e, para muitas das pessoas que estão lendo isto, foram algo muito pior”, e recomendou enfaticamente que qualquer pessoa que tenha gerado uma semente de carteira em um dispositivo Coldcard transfira seus fundos para uma nova carteira, gerada com segurança, o mais rápido possível.

As vítimas que ainda estão passando por esse processo têm um prazo curto para tentar transações do tipo “Replace-By-Fee” em transferências não confirmadas, embora essa opção só ajude se a ação do invasor ainda não tiver sido confirmada na cadeia de blocos.

Por fim, profissionais do setor, como Anthony Pompliano, refutaram a narrativa de que o ataque teria sido direcionado ao próprio bitcoin, argumentando que a falha residia exclusivamente no firmware da Coldcard, e não no protocolo do BTC.