Coldcard perde US$ 70 mi em ataque que nunca tocou os dispositivos

Mais de 1.000 bitcoins, avaliados em cerca de US$ 70 milhões, foram drenados de 1.196 carteiras Coldcard em um intervalo de 41 minutos em 30 de julho, quase o dobro do valor inicialmente relatado. A Galaxy Research mapeou o evento na sexta-feira, encontrando 1.082,65 BTC varridos entre 01:10 e 01:51 UTC em seis blocos, com três blocos intermediários vazios, sugerindo que as transações foram transmitidas em lotes. Os fundos repousam em quatro endereços e não foram movidos desde então. O ataque é menor que outros deste ano, mas o mecanismo é o que o torna incomum e significativo.

A maioria dos roubos de cripto envolve acesso a algo: uma exchange invadida, um contrato enganado ou uma chave fisgada de um laptop. A defesa sempre foi o distanciamento, exatamente o que uma carteira física vende: manter a chave em um dispositivo que nunca se conecta à internet. Quando uma carteira é criada, o dispositivo deve escolher um número tão grande e imprevisível que adivinhá-lo seja impossível. Esse número é a semente, e cada endereço e chave privada deriva dela por regras públicas fixas.

O firmware da Coldcard deveria extrair esse número de um gerador de aleatoriedade dedicado. Uma configuração interna de build o fazia pular esse gerador, e uma verificação em uma biblioteca de suporte testava apenas se a configuração existia, não se estava ativada. A geração de chaves caiu para um substituto de software básico baseado no número de série do chip e seus registros de clock. O número de série é metadados fixos de fábrica, e os valores de clock são estado de tempo que um atacante pode restringir ou medir em um dispositivo próprio.

A consequência foi que o intervalo de chaves possíveis colapsou de inimaginavelmente vasto para contável. Equipes de segurança descobriram que a geração de chaves nos modelos Mk2 e Mk3 podia ser determinada, mas nos Mk4, Q e Mk5, estimaram cerca de quatro bilhões de possibilidades. Quatro bilhões é um número grande para uma pessoa, mas pequeno para um computador. Um atacante gera sementes candidatas em seu próprio hardware, deriva os endereços que cada uma produziria e verifica esses endereços na blockchain pública. Cada etapa roda na máquina do atacante; o dispositivo da vítima não é envolvido em nenhum momento e pode estar desligado em um cofre em outro continente.

A análise da Galaxy mostra o processo em execução: 1.183 das carteiras drenadas usavam o formato de endereço segwit nativo moderno, sete usavam um padrão mais antigo e seis um ainda mais antigo. Ninguém mira uma vítima específica em três formatos de endereço ao mesmo tempo. Isso é enumeração sistemática, verificando cada semente candidata contra cada caminho que ela poderia ter produzido. O operador pode ampliar a busca, refiná-la e retornar quando quiser.

Por que o atacante conseguiu reconstruir as chaves sem tocar nos dispositivos?

O atacante explorou uma falha de firmware que tornava as sementes computacionalmente enumeráveis. Em vez de usar o gerador de hardware, o firmware caiu para um substituto baseado no número de série e clock, reduzindo o espaço de chaves a quatro bilhões de possibilidades. Com isso, o atacante pôde gerar candidatas em seu próprio hardware e verificar contra a blockchain, sem precisar acessar fisicamente as carteiras das vítimas.

Nenhum proprietário pode determinar se está exposto, pois não há teste para revelar se a semente está no intervalo reproduzível. A Coinkite, fabricante da Coldcard, alertou os proprietários do Mk3 e afirma que seus dispositivos mais novos não são afetados, enquanto o relatório da Block inclui Mk2, Mk4, Q e Mk5 no escopo. Até que isso seja resolvido, qualquer pessoa que gerou uma semente no firmware afetado deve assumir o pior, em vez de verificar. Clay Garrett, da Block, disse no X que o operador usou uma conta paga em um 'provedor de dados blockchain bem conhecido' para consultar os endereços de origem durante as varreduras, e que os logs internos do provedor correspondiam ao fluxo de trabalho suspeito com especificidade extraordinária, até o número, tempo e sequência de solicitações.

O provedor parece ter fornecido serviços comuns a solicitações que não indicavam seu propósito. A Block passou as informações às autoridades. O armazenamento a frio promete que uma chave é impossível de adivinhar, mas todos leram isso como uma promessa de que a chave é inalcançável, e o custo de encontrar e explorar falhas no primeiro tipo continua caindo. A Anthropic publicou pesquisa na terça-feira mostrando um de seus modelos reduzindo pela metade a segurança de um algoritmo pós-quântico candidato em 60 horas, contra um design que sobreviveu a dois anos de revisão especializada.

Perguntas frequentes

A Coldcard afetada pode ser atualizada para corrigir a falha?

A Coinkite alertou os proprietários do Mk3 e afirma que os dispositivos mais novos não são afetados, mas o relatório da Block inclui Mk2, Mk4, Q e Mk5 no escopo. Até que a questão seja resolvida, os proprietários de modelos afetados não podem confirmar se suas sementes estão seguras e devem assumir o pior.

Os fundos roubados foram recuperados?

Os 1.082,65 BTC drenados estão em quatro endereços e não foram movidos desde o ataque. A Block passou as informações às autoridades, mas não há indicação de recuperação até o momento.