Hackers roubam 594 BTC de 500 carteiras ao explorar frases-semente fracas
Um ataque a carteiras de bitcoin resultou no roubo de 594 BTC de cerca de 500 endereços, segundo a Atlas21. No período do incidente, os criminosos retiraram 1.324 UTXOs (saídas de transação não gastas, isto é, os saldos remanescentes nas carteiras após determinadas operações). Até o momento, os valores não foram enviados a uma corretora nem a um mixer: 562 BTC estão concentrados em um novo endereço e outros 32 BTC permanecem em um endereço intermediário.
As transações foram realizadas de forma a esvaziar exatamente um endereço por vez. Em 419 endereços havia apenas um UTXO, mas alguns acumulavam 105 ou 200 UTXOs. A perda mediana por vítima foi de 0,41 BTC (cerca de US$ 26.500). Ao todo, 110 vítimas perderam mais de 1 BTC e a maior perda chegou a 29,9 BTC (quase US$ 2 milhões). Nenhuma vítima perdeu menos de 0,15 BTC, levando especialistas a avaliar que os atacantes filtraram as carteiras por um saldo mínimo.
A apuração começou após um blogueiro do Reddit relatar um furto de criptomoedas. Ele afirma ter comprado uma carteira Coldcard em 2021; a frase-semente de 24 palavras teria sido gerada no próprio dispositivo, os fundos foram enviados para a carteira e ficaram anos sem movimentação. Em janeiro do ano passado, o usuário adquiriu uma segunda Coldcard e reinseriu a frase-semente antiga "para verificar se as palavras estavam corretas". Ele diz não ter compartilhado a frase-semente e tê-la usado exclusivamente no Coldcard.
A Coinkite reconheceu um problema de segurança relacionado a frases-semente geradas em dispositivos Coldcard Mk3. O fabricante recomenda que todos os usuários que criaram uma frase-semente em um Mk3 com o firmware versão 4.0.1, lançado em março de 2021, ou qualquer versão posterior, considerem os fundos comprometidos. A empresa informou que os modelos Mk4, Q e Mk5 não são afetados.
Como medida de mitigação, a Coinkite orienta proprietários do Mk3 a gerar no dispositivo uma passphrase BIP39 exclusiva e transferir os recursos para uma nova carteira. A companhia declarou que a causa da vulnerabilidade ainda não foi identificada. Também foi confirmado que nenhuma das carteiras afetadas é multisignature.
Analistas on-chain da Atlas21 avaliam que o problema pode não estar no hardware em si, mas em frases-semente fracas. A hipótese é que usuários tenham importado para os dispositivos combinações de palavras já comprometidas ou fáceis de adivinhar. Especialistas em segurança apontam que, por "randomização insuficiente" na geração das frases-semente, chaves privadas de UTXOs individuais poderiam ser quebradas por força bruta, o que teria sido explorado no ataque.
Em outro caso recente, a empresa TripleA, sediada em Singapura e fornecedora de infraestrutura para pagamentos com stablecoins e outras criptomoedas, sofreu um ciberataque. O prejuízo foi estimado em US$ 11,8 milhões.
