Falha na geração de seeds da Coldcard eleva risco de roubo de Bitcoin

Alguns donos da Coldcard Mk3 podem precisar mover seus bitcoins. A Coinkite afirmou que fundos vinculados a seeds geradas no firmware 4.0.1 — ou em versões posteriores da Mk3 — podem estar em risco. O colaborador do Bitcoin Core instagibbs disse ter reproduzido a seed vulnerável em uma Mk3 recém-inicializada. Segundo a empresa, dispositivos Mk4 e Mk5 também foram afetados antes do firmware 5.6.0. Já os modelos Q são impactados antes do 1.5.0Q; nesse caso, o efeito é descrito como menos severo, mas ainda grave. A Coinkite informou que pretende conduzir uma revisão técnica formal para identificar a causa-raiz. Carteiras de hardware protegem chaves já existentes por meio de armazenamento seguro, assinatura offline e verificação no próprio aparelho. O problema, nesta ocorrência, está antes dessas camadas: na geração da seed, que define se o dispositivo começa com material criptográfico forte. A segurança de uma frase-semente depende da entropia — a aleatoriedade que seleciona uma combinação em um universo gigantesco de possibilidades. Se a aleatoriedade é fraca, esse universo se estreita a ponto de um atacante conseguir testar seeds candidatas, derivar endereços e monitorá-los em busca de depósitos a partir de outro computador. Uma criação previsível compromete o "air gap" logo no início e transforma o roubo em um problema de busca remota: o invasor monitora endereços associados às seeds testadas e, quando encontra uma correspondência, pode gastar os fundos. Como todos os endereços existentes continuam sob controle da seed original, a correção exige novas chaves e uma transferência on-chain. Atualizar o firmware pode tornar futuras configurações mais seguras, mas não altera o material criptográfico que controla endereços antigos. Camadas de segurança e por que não bastam neste caso: - Air gap: evita exposição de chaves em conexão ativa; não ajuda se a seed foi previsível na criação. - Armazenamento seguro: isola a chave privada existente; protege o lugar errado quando o material de origem é fraco. - Assinatura offline: permite aprovar transações sem conectar a carteira; só atua depois de a seed já existir. - Verificação no dispositivo: confirma endereços e valores na tela; não comprova entropia suficiente na geração da seed. - Atualização de firmware: melhora o comportamento futuro; não substitui endereços antigos controlados por uma seed já gerada. - Nova seed + transferência: cria material novo e migra fundos; é a única remediação completa para seeds potencialmente fracas. Perfil de custódia de maior risco O cenário de exposição mais claro ocorre quando uma Mk3 afetada gerou a seed e a carteira é controlada por uma única assinatura. Sem entropia por dados, sem passphrase BIP39 e sem multisig, o gerador de seed do dispositivo vira a única raiz criptográfica. A Coinkite afirma que uma passphrase BIP39 forte e exclusiva adiciona uma barreira independente. Em contrapartida, passphrases curtas, comuns, com padrões, entre aspas ou reutilizadas podem ser adivinháveis. A passphrase é diferente do PIN do aparelho e deriva uma carteira separada a partir do mesmo mnemônico, exigindo que o atacante recupere os dois segredos. Ainda assim, a recomendação é migrar para uma seed recém-gerada. Configurações multisig podem limitar o impacto de uma seed fraca a um único signatário quando o limite de gasto exige chaves independentes. Dados fornecidos pelo usuário também podem acrescentar uma fonte externa de entropia; o caminho avançado da Coinkite especifica pelo menos 99 lançamentos justos no fluxo de importação somente por dados. Essas proteções exigem registros cuidadosos e recuperação testada. Uma passphrase perdida pode bloquear o próprio dono. Um multisig mal documentado pode complicar a recuperação. Registros de dados expostos podem revelar a seed de substituição. A Coinkite orienta: verificar o backup, o fingerprint e o endereço de recebimento; enviar um pequeno pagamento de teste; depois mover o saldo. A sequência reduz a chance de que a urgência provoque uma segunda falha por endereço digitado errado, carteira temporária fraca ou backup incompleto. Risco por configuração: - Seed gerada na Mk3, singlesig, sem passphrase, sem dados, sem multisig: risco mais alto; a seed afetada é a única raiz criptográfica. - Seed gerada na Mk3 com passphrase BIP39: risco menor apenas com passphrase forte e exclusiva; o atacante precisaria do mnemônico e da passphrase. - Seed gerada na Mk3 com multisig: risco menor se os demais signatários forem independentes; uma seed fraca não basta para gastar. - Seed gerada na Mk3 com entropia via dados do usuário: risco menor se pelo menos 50 lançamentos justos e privados forem adicionados; menos de 50, ou incerteza sobre os lançamentos, ainda exige migração. - Nova seed em dispositivo não afetado: caminho de remediação; fundos migram para material criptográfico novo. - Migração em pânico para carteira/endereço não verificado: novo risco; a pressa pode gerar perdas sem relação com a falha original. Armazenamento a frio passa a exigir manutenção A Coinkite lançou o firmware final da Mk3 em junho de 2023. O aviso de julho de 2026 cobre seeds criadas por dispositivos Mk3 a partir de março de 2021, abrindo um intervalo de três anos entre o fim do suporte do produto e uma ação urgente de custódia. Esse intervalo transforma o cold storage em um problema de manutenção de legado. Detentores inativos podem ligar o dispositivo apenas a cada poucos anos, páginas antigas perdem visibilidade e avisos do fabricante podem ser ignorados por meses. Uma seed pode sobreviver ao dispositivo, ao ramo de firmware e ao canal original de suporte; por isso, sistemas de custódia precisam de alertas duráveis e procedimentos de migração repetíveis. Fabricantes podem publicar a arquitetura de entropia, avisos específicos por dispositivo e guias de rotação de chaves que permaneçam acessíveis por anos após a última venda. A documentação de segurança da Coinkite cita código aberto e builds reproduzíveis como ferramentas de inspeção. Revisores podem comparar o código-fonte com os binários publicados, e defeitos podem persistir até que alguém analise o caminho exato que gerou uma seed adormecida. Isso reforça a necessidade de testes independentes de entropia como prática central para carteiras de hardware. Um binário reproduzível indica qual código rodou, mas a confiança em cada premissa de segurança requer validação separada. Cenários à frente No cenário positivo, usuários afetados rotacionam chaves com cuidado, a Coinkite publica a causa-raiz e fabricantes adotam testes de entropia mais fortes e canais de alerta duráveis. Passphrases, multisig e aleatoriedade independente ganham adoção, criando múltiplas barreiras criptográficas em torno de um saldo. No cenário negativo, carteiras Mk3 adormecidas continuam recebendo depósitos em endereços antigos, e donos descobrem o aviso por relatos de roubo ou contato emergencial. Transferências em pânico aumentam perdas por endereços não verificados, carteiras temporárias fracas ou backups extraviados, enquanto alegações não comprovadas associam movimentações on-chain não relacionadas ao problema. Carteiras de hardware tornaram a autocustódia prática ao proteger chaves no armazenamento e no gasto. O alerta da Coldcard amplia esse modelo para a etapa de configuração, o monitoramento e a rotação, tratando cada seed como uma obrigação de manutenção de longo prazo que pode sobreviver ao dispositivo que a criou. O post "A flaw in Coldcard seed generation lets attackers recreate private keys from the press of a button" apareceu primeiro no CryptoSlate.