Hacker ligado ao caso Coldcard movimenta 97 BTC (US$ 7,7 milhões) e envia parte para Ethereum via THORChain

A Galaxy Research identificou nova movimentação on-chain associada à terceira onda de fundos roubados de carteiras de hardware Coldcard. Segundo os pesquisadores, o atacante transferiu 97,09 BTC — cerca de US$ 7,7 milhões aos preços de segunda-feira — o que representa aproximadamente 45% do total subtraído nessa terceira etapa. Os fluxos ocorreram em duas frentes. Em 2 de setembro, o invasor moveu cerca de 20,5 BTC a partir do maior endereço-cofre e, em seguida, fez a troca por Ethereum via THORChain. Até o fim de semana, outro lote entrou em uma rodada de CoinJoin para dificultar o vínculo entre entradas e saídas das transações. A Galaxy Research estimou que 20,56 BTC foram, ao fim, encaminhados para Ethereum. Outros 57,24 BTC permanecem em um único endereço como troco de CoinJoin, e cerca de mais 19 BTC deixaram de ser rastreados após seguirem por rotas subsequentes. Na terceira onda, os pesquisadores afirmam que os atacantes criaram 293 endereços-cofre multisig 2of2 para armazenar fundos das vítimas e os processaram por ordem decrescente de valor. Até o momento, 11 desses endereços foram esvaziados. Os 10 endereços seguintes somam 30,81 BTC. Os 233 endereços menores restantes totalizam 33,77 BTC. Aproximadamente 82% dos bitcoins roubados não se moveram durante o período do incidente. A falha explorada remonta a um firmware de 2021. De acordo com a Galaxy Research, o problema decorre de uma vulnerabilidade introduzida pela Coinkite em março de 2021, quando a geração de seed foi transferida do chip de aleatoriedade por hardware do dispositivo para uma alternativa em software. Com isso, a entropia da chave caiu de 128 bits para algo tão baixo quanto aproximadamente 40 bits. Os pesquisadores dizem que essa condição permitiria a reconstrução offline de chaves privadas e o esvaziamento de endereços de assinatura única sem acesso físico ao aparelho. A Coinkite já atualizou o firmware, mas seeds geradas em versões antigas não são corrigidas apenas com a atualização. Usuários potencialmente afetados precisam criar novas seeds e transferir seus ativos. A Galaxy Research também citou um endereço de tesouraria não reportado anteriormente, abastecido por 58 endereços. A origem ainda não foi confirmada, mas o grupo avalia que o endereço pode conter recursos de vítimas da Coldcard. Se a hipótese se confirmar, o total roubado registrado publicamente pela Galaxy Research subiria para cerca de 1.806 bitcoins, equivalentes a aproximadamente US$ 143,9 milhões ao preço mencionado no artigo. A empresa já havia apontado uma possível quarta onda, ainda não confirmada, de 638,5 bitcoins; caso verificada, a escala do caso ultrapassaria 2.400 bitcoins.