Falha em seeds de carteiras Coldcard permite roubo de milhões em bitcoin

Um atacante explorou seeds fracas geradas por determinados modelos da carteira de hardware Coldcard e desviou bitcoins avaliados em dezenas de milhões de dólares de centenas de endereços em 30 de julho. Uma análise aprofundada da Galaxy Research aponta que o núcleo do ataque ocorreu em uma rajada altamente coordenada de cerca de 25 minutos. Em um recorte mais amplo, a investigação conectou aproximadamente 1.196 endereços e até 1.083 BTC — perto de US$ 70 milhões — a movimentações concentradas em torno de 41 minutos. Esses números ainda podem mudar à medida que transações são rastreadas no blockchain público do Bitcoin. A origem do problema está em um bug antigo que chegou a carteiras usadas no mundo todo. A maioria dos endereços afetados pertencia a detentores de longo prazo que haviam gerado suas frases de recuperação em dispositivos Coldcard com firmware vulnerável distribuído a partir de março de 2021. A Coldcard, fabricada no Canadá pela Coinkite, é uma carteira "air-gapped", projetada para manter chaves de BTC isoladas de dispositivos conectados à internet. Muitos dos endereços drenados estavam inativos havia anos. O padrão das transações chamou atenção: o invasor agiu rapidamente, pagou taxas fixas elevadas e não deixou "troco" (change outputs), esvaziando cada endereço por completo. Isso sugere um processo automatizado com uma lista pré-montada de chaves privadas, e não movimentações independentes feitas pelos usuários. Segundo as apurações, o caso não decorre de phishing, malware no computador do usuário, roubo físico do dispositivo ou uma invasão remota tradicional. O vetor foi um erro de firmware que reduziu a aleatoriedade usada na criação das seeds. As frases pareciam normais, mas vinham de um universo de combinações muito menor do que o prometido. Como a geração de entropia falhou A seed de uma carteira de Bitcoin é um segredo — normalmente exibido como 12 ou 24 palavras — do qual são derivadas chaves privadas e endereços. Uma seed de 12 palavras, quando gerada corretamente, carrega 128 bits de entropia, tornando impraticável adivinhar a combinação. Os dispositivos Coldcard deveriam obter essa aleatoriedade de um gerador de números aleatórios de hardware no microcontrolador, baseado em ruído elétrico físico. Em 2021, durante uma migração de biblioteca, a Coinkite informou que duas funções de geração aleatória com interfaces semelhantes foram confundidas: uma chamava o gerador de hardware correto; a outra era um fallback de software, mais fraco, pensado para placas sem hardware adequado. Uma configuração desativava o caminho padrão de hardware do MicroPython porque a Coinkite fornecia seu próprio "wrapper". O código, porém, checava apenas se a configuração existia, e não se estava habilitada. Como o parâmetro estava presente com valor zero, a compilação seguia sem erros e a geração de seeds migrou silenciosamente para o gerador fraco. Dados de fábrica e tempo de inicialização no lugar do aleatório Esse fallback dependia fortemente de informações previsíveis do dispositivo, como um identificador de chip semelhante a número de série e valores de relógio interno relacionados ao momento de inicialização. Ao restringir esses inputs, um atacante reduz drasticamente o esforço de busca em comparação ao esperado para 128 bits. A Coinkite estimou que, sob as premissas atuais, a entropia efetiva das seeds vulneráveis no modelo Mk3 ficou em torno de 40 bits. É um espaço de busca grande, mas ainda passível de varredura com hardware especializado, especialmente porque o atacante pode testar seeds candidatas contra endereços visíveis no blockchain. Modelos posteriores — Mk4, Q e Mk5 — passaram a adicionar aleatoriedade de um secure element. Ainda assim, apenas uma parte limitada chegava ao gerador afetado, resultando em uma entropia efetiva estimada em 72 bits para seeds criadas antes da instalação do firmware corrigido. É mais forte que o caminho do Mk3, mas abaixo do padrão pretendido de 128 bits. Usuários relatam migração não apenas do Mk3, mas também de Mk4, Q e Mk5. Orientação da Coinkite: criar seed nova e migrar fundos Após identificar a ameaça ativa, a Coinkite publicou comunicados de segurança e liberou firmwares corrigidos. A empresa recomenda que usuários que geraram seeds em versões afetadas criem uma seed totalmente nova em firmware já corrigido e transfiram os bitcoins para endereços controlados por essa nova seed. Atualizar o dispositivo, por si só, não resolve: uma seed criada sob o sistema falho permanece permanentemente fraca, pois o update não adiciona aleatoriedade retroativamente. O passo a passo indicado inclui: atualizar o dispositivo, gerar a nova seed, verificar o backup e a "fingerprint" da carteira, confirmar o endereço de recebimento, enviar uma transação de teste pequena e só então transferir o saldo restante. A orientação é manter o backup antigo até a confirmação da migração, mas não tratá-lo mais como seguro. A Coinkite listou como versões corrigidas: Mk3 4.2.0 ou superior; Mk4 e Mk5 5.6.0 ou superior; Q 1.5.0Q ou superior, além das versões correspondentes do Edge. Produtos Tapsigner, Opendime e Satscard usam código diferente e, segundo relatos, não foram afetados. Camadas extras evitaram perdas para parte dos usuários Usuários que adicionaram dados suficientes de rolagens de dado ao gerar a seed ficaram bem mais protegidos, pois a aleatoriedade própria superou a fraqueza do software. A Coinkite afirmou que pelo menos 50 rolagens privadas de um dado justo fornecem proteção adequada nesse cenário, embora mais rolagens ampliem a margem de segurança. Uma passphrase forte no padrão BIP39 cria uma carteira separada que não pode ser reconstruída apenas com as palavras da seed. Carteiras multisig, que exigem chaves de múltiplos dispositivos ou locais para mover BTC, também ficaram em grande parte — ou totalmente — protegidas quando a seed vulnerável era apenas um componente do arranjo. O problema é que essas defesas eram opcionais. Muitas vítimas seguiram o conselho padrão de segurança da época: comprar uma carteira de hardware respeitada, gerar a seed offline, proteger o backup e nunca digitá-la em um dispositivo conectado à internet. Coinkite assume responsabilidade e debate passa por IA Em 31 de julho, o CEO da Coinkite, Rodolfo Novak (conhecido como NVK), pediu desculpas publicamente e disse que a empresa assume total responsabilidade pela falha de firmware. "I'm sorry and I'm devastated. Our team is heartbroken about yesterday's news", escreveu Novak. Ele reconheceu que o hotfix protege seeds novas, mas não repara seeds geradas no período vulnerável. Novak afirmou que a empresa publicará um relato técnico completo após validar detalhes e ajudará usuários afetados que precisem de boletins de ocorrência, sinistros de seguro ou investigações independentes. Também alertou desenvolvedores de que ferramentas de inteligência artificial (IA) já conseguem vasculhar código público antigo em busca de fraquezas ocultas mais rápido do que processos tradicionais de revisão. A Coinkite disse que precisa assumir que um atacante pode ter usado IA para inspecionar seu firmware open source, embora não haja evidência de como a falha foi descoberta. A empresa também admitiu que uma revisão recente feita com um modelo líder de IA não identificou o problema. Concorrentes aproveitaram para reforçar que não foram afetados. A Ledger afirmou no X: "Ledger is not affected by the recently published Coldcard Mk3 advisory" e disse que seus dispositivos usam um TRNG certificado no Secure Element, gerando 256 bits de entropia para cada frase de 24 palavras. A Trezor publicou: "Trezor users: your funds are safe", atribuindo o incidente a firmware customizado da Coldcard e à forma como alguns dispositivos geraram aleatoriedade. A conta da Trezor também disse que sempre mistura múltiplas fontes independentes de aleatoriedade e lamentou as perdas. O que observar a partir de agora A identidade do atacante segue desconhecida, e os bitcoins roubados podem sair dos endereços de consolidação a qualquer momento. Investigadores tentam estimar quantas seeds vulneráveis foram geradas, quanto BTC ainda permanece exposto e se carteiras de alto valor já foram mapeadas. Um obstáculo é a falta de dados históricos de clientes. Jameson Lopp, cofundador da Casa, comentou no X: "Fun double-edged sword: Coinkite purges all their customer records after 120 days to protect against data breaches", acrescentando que isso impede a empresa de avisar compradores de Coldcards vulneráveis adquiridas ao longo dos últimos cinco anos. O desenvolvedor open source de Bitcoin conhecido como calle também se manifestou: "I am truly saddened for everyone affected, especially those who may have just lost their life savings. The worst part is that they did everything right". O episódio deve testar a capacidade da Coinkite de recuperar a confiança no Coldcard e pode acelerar a adoção de auditorias independentes mais rigorosas para geração de seeds. Para usuários, a prioridade imediata é prática: quem criou seed em firmware afetado sem entropia forte de dados, sem passphrase ou sem proteção multisig deve tratá-la como comprometida e migrar os fundos com cuidado para uma carteira recém-gerada. Na comunidade, cresce o esforço para disseminar o alerta e evitar que mais carteiras vulneráveis sejam esvaziadas.