Uma falha de segurança que afeta várias gerações de carteiras hardware da Coldcard deixou usuários de bitcoin correndo para proteger seus fundos após invasores terem roubado pelo menos 594 BTC, no valor de aproximadamente 38 milhões de dólares nos preços atuais. O fabricante, a empresa canadense Coinkite, reconheceu a vulnerabilidade e incentivou os clientes afetados a migrarem seus fundos usando sementes de recuperação recém-geradas.
O problema afeta frases de recuperação, comumente conhecidas como palavras-semente, que foram criadas em versões específicas do firmware do Coldcard. Segundo a Coinkite, carteiras geradas no Mk3 rodando firmware 4.0.1 ou posterior, assim como certos dispositivos Mk4, Q e Mk5 antes do lançamento do firmware atualizado, podem ter produzido frases semente com aleatoriedade insuficiente. Se os atacantes conseguirem prever essas palavras-semente, podem restaurar a carteira em outro lugar e transferir a criptomoeda armazenada.
A Coinkite lançou atualizações de firmware para corrigir o problema, mas a empresa alertou que instalar a atualização sozinha não é suficiente para proteger as carteiras existentes. Usuários cujas frases de recuperação foram criadas usando firmware afetado devem gerar uma frase-semente totalmente nova e transferir seu bitcoin para uma carteira recém-criada. A empresa publicou instruções de migração para clientes que acredita poderem estar em risco.
O aviso também vai além dos próprios dispositivos Coldcard. Engenheiros de segurança da Block, empresa por trás da carteira de hardware Bitkey, observaram que os usuários continuam vulneráveis se importarem uma frase de recuperação originalmente criada em um Coldcard afetado para outra carteira. Como a semente subjacente permanece inalterada, movê-la para hardware diferente não elimina o risco. Vários outros fabricantes de carteiras, incluindo Trezor, Blockstream, Foundation e Tangem, aconselharam clientes que anteriormente migraram frases de recuperação do Coldcard a criar novas carteiras com sementes recém-geradas.
A Coinkite disse que não tinha conhecimento do problema subjacente até recentemente, descrevendo-o como uma combinação de bugs sutis de software que reduziram a aleatoriedade usada durante a geração de seed em certas versões de firmware. A empresa acredita que um atacante conseguiu, em última análise, explorar essa fraqueza prevendo frases de recuperação e drenando as carteiras afetadas.
Ao discutir como a falha pode ter sido descoberta, a Coinkite disse que não pode descartar a possibilidade de que ferramentas de inteligência artificial tenham ajudado a analisar seu código-fonte público. A empresa enfatizou que isso continua sendo uma suposição, e não uma constatação confirmada. Segundo a Coinkite, recentemente usou um modelo avançado de IA para revisar o mesmo código base, mas o modelo não identificou a vulnerabilidade antes de ela ser descoberta.
O incidente reacendeu a discussão dentro da comunidade Bitcoin sobre a importância de proteger grandes investimentos em criptomoedas com carteiras multiassinatura, que exigem aprovação de múltiplos dispositivos independentes antes que os fundos possam ser transferidos. Especialistas em segurança têm incentivado os usuários afetados a não atrasarem a migração das carteiras vulneráveis, enfatizando que criar uma nova frase de recuperação é a única forma confiável de eliminar o risco associado ao processo comprometido de geração de seeds. A investigação sobre os ataques continua em andamento.