Coinkite alerta usuários da Coldcard Mk3 após varredura de 594 BTC em 500 endereços

A Coinkite, empresa canadense por trás da carteira de hardware Coldcard, emitiu um alerta informando que fundos em Bitcoin podem estar em risco caso a seed tenha sido gerada em determinadas versões de firmware afetadas. Segundo a companhia, o problema atinge todas as versões de firmware da Mk3 desde a 4.0.1, lançada em março de 2021, e está relacionado à entropia gerada pelo dispositivo durante a criação da seed. A Coinkite afirmou que seeds criadas na Mk4 e na Mk5 antes do firmware 5.6.0, e no modelo Q antes do 1.5.0Q, também entram no escopo do aviso. O impacto nesses modelos seria menor do que na Mk3, mas ainda considerado grave. De acordo com a atualização, as seeds afetadas teriam cerca de 72 bits de entropia, abaixo dos 128 bits esperados. A empresa acrescentou que TAPSIGNER, OPENDIME e SATSCARD não são afetados por utilizarem bases de código diferentes. Usuários com seeds potencialmente comprometidas foram orientados a migrar os fundos para uma nova seed gerada em um dispositivo não afetado. Para Mk4 e Mk5, a recomendação é atualizar primeiro para o firmware 5.6.0 ou superior; no caso do Q, instalar o 1.5.0Q ou superior antes de gerar a seed substituta. A orientação inclui fazer backup e validar a nova seed, confirmar no próprio dispositivo um novo endereço de recebimento e realizar uma transação de teste com valor pequeno antes de transferir o restante dos fundos. Se a Mk3 for a única opção disponível, a Coinkite sugere o uso temporário de uma passphrase BIP39 forte e exclusiva, além de verificar cuidadosamente a impressão digital (fingerprint) da carteira e o endereço de recebimento. O alerta ganhou tração após relatos, em 30 de julho, de drenagem de bitcoins de carteiras Coldcard. A Atlas21 informou que uma operação automatizada varreu 500 endereços de assinatura única (single-signature) em quatro blocos consecutivos, do 960188 ao 960191. As transações movimentaram 1.324 UTXOs, somando 594,5 BTC — cerca de US$ 38 milhões aos preços atuais. As evidências apontariam para chaves privadas fracas geradas no momento de criação das carteiras. Não houve vítimas entre carteiras multisig ou Taproot. A perda mediana foi de 0,41 BTC, enquanto 110 vítimas perderam mais de 1 bitcoin. A maior perda registrada foi de 29,9 BTC, e a operação teria custado aproximadamente 0,044 BTC em taxas. Segundo a Atlas21, o primeiro aviso público partiu de uma vítima no Reddit, que relatou ter gerado a frase-semente de 24 palavras em 2021 e que a seed nunca foi digitada em um computador. Apesar do volume do ataque, o preço do bitcoin não reagiu de forma relevante e seguiu negociado próximo de US$ 64.000. O texto "Coldcard Mk3 Users Warned of Risk After 594 BTC Swept From 500 Addresses" foi publicado originalmente pelo CryptoPotato.