Coldcard orienta usuários a transferir fundos com urgência após exploit ainda em curso que já drenou US$ 114 milhões

A equipe por trás da carteira Coldcard voltou a alertar usuários para transferirem imediatamente seus bitcoins e confirmou nesta terça-feira que o exploit que vem esvaziando carteiras de autocustódia segue ativo. "Tratem isso como urgente. Migrem seus fundos", escreveu a empresa, pedindo ainda que a mensagem seja repassada a detentores "menos online", que podem não ter visto o aviso — justamente o grupo mais exposto, já que a correção precisa ser feita manualmente. O alerta não é apenas preventivo. Segundo apuração da CoinDesk, uma possível quarta onda de varreduras ocorreu ao longo de segunda-feira, levando cerca de 449 BTC de 709 endereços, conforme contagem revisada da Galaxy Research. Com isso, as perdas acumuladas teriam subido de aproximadamente US$ 89 milhões para até US$ 114 milhões. A falha estaria relacionada a um firmware que permaneceu latente desde 2021, como a CoinDesk informou na sexta-feira. Na prática, carteiras em que uma única chave controla os fundos, sem necessidade de uma segunda aprovação, permanecem vulneráveis até que o próprio usuário tome providências. O risco, portanto, se restringe a determinados dispositivos e versões de firmware. No caso da Mk3 (modelo de 2019), a recomendação é mover os fundos imediatamente se a carteira tiver sido configurada com o firmware 4.0.1 ou superior. A Coinkite afirmou que há uma exceção: quem utilizou a opção de dados do dispositivo, na qual o usuário lança dados fisicamente ao menos 50 vezes, digita os resultados e a carteira deriva a chave a partir desses números, em vez de gerar internamente. Essas carteiras não passaram pelo código defeituoso e são consideradas seguras. Para donos de Mk4, Mk5 e Q com firmware abaixo de 5.6.0 ou 1.5.0Q, a orientação é atualizar o dispositivo, criar uma nova carteira e então transferir as moedas. A seed funciona como a chave mestra que controla os bitcoins da carteira. Se for gerada com baixa aleatoriedade, pode ser adivinhada e recriada por um invasor, permitindo o esvaziamento dos fundos sem que o atacante sequer precise tocar no dispositivo. "Toda carteira, no fim das contas, depende de um segredo raiz gerado a partir de entropia de alta qualidade", disse Bouzon à CoinDesk por e-mail. Ele acrescentou que a geração dessa entropia "precisa estar ancorada em hardware seguro, com uma arquitetura que não permita um rebaixamento silencioso para uma fonte baseada em software não confiável". Bouzon afirmou que as alternativas são piores: carteiras de software em hardware não seguro seriam ainda mais arriscadas, e deixar fundos em uma corretora centralizada "não é propriedade, é um IOU". O bitcoin era negociado perto de US$ 63.800 nas primeiras horas da manhã de terça-feira nos EUA, com pouca reação após o alerta, segundo dados da CoinDesk.