Coldcard: ladrão de US$ 70 mi usou provedor de blockchain, diz relatório

Mais de US$ 70 milhões em Bitcoin foram roubados em um ataque que explorou uma falha nos dispositivos Coldcard. Agora, um relatório indica que o ladrão usou um provedor de serviços blockchain para facilitar o crime, levantando novas questões sobre a segurança do hardware wallet.

Clay Garrett, engenheiro da Block, empresa de pagamentos, escreveu na plataforma X que o provedor, cujo nome não foi divulgado a pedido da própria empresa, foi contatado após a identificação de movimentações que correspondiam ao 'fluxo de trabalho suspeito' do atacante. 'Durante nossa investigação do dreno da Coldcard ontem, identificamos um padrão incomum nas varreduras', disse Garrett.

'Esse padrão nos levou a uma hipótese que foi confirmada: o operador usou uma conta paga em um provedor de serviços blockchain conhecido para consultar os endereços de origem e realizar outras atividades relacionadas durante as varreduras', acrescentou, afirmando que as autoridades foram notificadas.

A Galaxy Digital, por meio de seu braço de pesquisa, também comentou no X que o ladrão apresentou um padrão incomum de movimentação das moedas. 'O padrão nos diz que todos foram o mesmo atacante — não captura o ataque em si, que parece o mesmo que um proprietário de moedas que decidiu movê-las', disse a empresa, recomendando que os bitcoiners movam fundos de endereços de assinatura única da Coldcard para custódia segura.

O ataque começou na quinta-feira, quando mais de US$ 35 milhões em Bitcoin foram drenados de carteiras. A Coinkite, fabricante da Coldcard, afirmou que um bug no firmware dos dispositivos Mk3, a partir da versão 4.0.1 de março de 2021, fez com que a geração de sementes usasse um gerador de números pseudoaleatórios fraco, em vez do gerador de números aleatórios verdadeiro do hardware.

Isso tornou as chaves privadas de muitas carteiras de assinatura única previsíveis o suficiente para serem atacadas por força bruta. Na sexta-feira, a Coinkite admitiu que todos os seus modelos estavam vulneráveis. Engenheiros alertam que mais endereços de Bitcoin podem estar em risco.

Por que o provedor de blockchain é tão importante para a investigação?

O provedor de serviços blockchain, que atua como uma interface para consultar dados na rede, permitiu que o atacante realizasse consultas em massa de endereços de forma eficiente. Isso acelerou o processo de identificação de carteiras vulneráveis e a varredura dos fundos. A confirmação do uso desse serviço ajuda os investigadores a rastrear o fluxo de transações e possivelmente identificar o responsável.

A Block, empresa de Garrett, já notificou as autoridades, e o provedor pode ter registros das atividades do atacante. Especialistas recomendam que os usuários da Coldcard movam seus fundos imediatamente, pois a vulnerabilidade pode afetar mais endereços.

Perguntas frequentes

O que devo fazer se tiver um Coldcard afetado?

Se você possui um Coldcard, especialmente os modelos Mk3 com firmware anterior à versão 4.1.0, é recomendável mover seus fundos para uma carteira segura, como uma nova conta com hardware wallet ou uma carteira multiassinatura. Evite usar carteiras de assinatura única criadas sem dados aleatórios adicionais, como rolagem de dados ou senha BIP-39 forte.

O ladrão foi identificado?

Até o momento, o ladrão não foi identificado publicamente. A investigação está em andamento, com a Block e a Galaxy Digital auxiliando as autoridades. O uso do provedor de blockchain pode fornecer pistas, mas não há confirmação de identidade ainda.