Falha na geração de seed da Coldcard deixa US$ 116 milhões em bitcoin expostos

Segundo a CoinDesk, a divulgação recente de uma vulnerabilidade na geração de seeds da Coldcard colocou em risco cerca de 1.816 bitcoins, avaliados em aproximadamente US$ 116 milhões. O caso reacendeu o debate sobre as fontes de aleatoriedade usadas por carteiras de hardware, práticas de backup e a segurança da autocustódia. A Coldcard é uma carteira de hardware exclusiva para Bitcoin, desenvolvida pela canadense Coinkite. De acordo com um comunicado de segurança, alguns dispositivos utilizaram uma fonte incorreta de aleatoriedade ao criar frases mnemônicas, reduzindo a entropia do seed a um nível muito abaixo do esperado. As versões afetadas incluem a Coldcard Mk2 e Mk3 com firmware 4.0.1 a 4.1.9. A Coinkite estima que esses aparelhos geraram seeds com cerca de 40 bits de entropia efetiva; alguns dispositivos Mk4, Mk5 e Q teriam em torno de 72 bits, quando o padrão esperado é 128 bits. Estimativas de perdas e forma de ataque A TRM Labs calcula que o atacante movimentou aproximadamente 1.816 BTC a partir de mais de 5.200 endereços. O relatório aponta quatro transferências suspeitas após 30 de julho, e os números ainda podem mudar com novas apurações. A TRM Labs avalia que não é necessário obter o dispositivo nem alterar o firmware. Ao reconstruir o seed vulnerável, o invasor consegue derivar a chave privada correspondente e assinar transações em outros sistemas. A Coinkite já lançou uma correção de firmware para os modelos impactados. O patch só evita o problema em seeds gerados daqui para frente; as mnemônicas antigas, consideradas vulneráveis, exigem migração da carteira. Debate sobre autocustódia volta ao centro Para Bobby Gray, fundador da TEXITcoin, o episódio não revela uma falha no Bitcoin em si, mas a dependência excessiva de muitos usuários de números aleatórios gerados automaticamente pelos dispositivos. Ele observa que usuários que adicionaram entropia manualmente, com dados, não foram afetados da mesma forma. Gray também afirma que o caso não deve ser visto, de forma simplista, como evidência de que a custódia em exchanges é mais segura. Para investidores dos EUA que buscam apenas exposição ao preço do bitcoin, ETFs spot de Bitcoin eliminam a necessidade de frases mnemônicas e manutenção de firmware, mas transferem os riscos para a custódia institucional e para a estrutura de valores mobiliários.