Ataques a carteiras Coldcard entram na quarta onda e colocam 449 BTC em risco

Uma possível quarta onda de ataques contra carteiras de Bitcoin geradas em dispositivos Coldcard com vulnerabilidade já pode estar em curso. Em 3 de agosto, o pesquisador de blockchain Alex Thorn alertou que quase 449 BTC teriam sido "varridos" de centenas de endereços em cerca de duas horas e meia. A movimentação, ainda em andamento no momento da publicação, sucede três ondas anteriores associadas por pesquisadores ao mesmo problema de entropia fraca que afeta determinadas versões de firmware da Coldcard. Em análise recente, Thorn disse ter identificado 218 transações envolvendo 462 endereços suspeitos de vítimas, entre os blocos 960778 e 969792 do Bitcoin. No total, 388,93 BTC (aproximadamente US$ 24,4 milhões aos preços atuais) foram enviados para 216 endereços de destino — quase todos recém-criados e sem histórico de transações. "Provavelmente são vítimas de Coldcard — o padrão bate com UTXOs vulneráveis da Coldcard e o volume elevado de transações me dá muita confiança de que é outra onda de ataque", escreveu. Ele ressaltou que ainda não havia confirmação direta de vítimas e, por cautela, optou por usar "provavelmente". O analista também revisou rapidamente a lista de destinos, retirando seis endereços que, segundo ele, já recebiam e gastavam BTC bem antes do início do incidente, em 30 de julho. Esses seis respondiam por pouco mais de 5 BTC do total calculado anteriormente. Além disso, Thorn removeu 89 endereços multisig, já que nenhum apareceu nas três primeiras ondas, reduzindo o conjunto principal para 709 endereços e 448,73 BTC (US$ 28,1 milhões) considerando transações confirmadas e ainda pendentes. Thorn recomendou que usuários movam imediatamente os fundos para fora de dispositivos Coldcard potencialmente afetados e utilizem taxas de transação mais altas. Ele alertou ainda que parte das transações pendentes estava com Replace-by-Fee (RBF) ativado, o que pode dar a vítimas com transações ainda na mempool uma janela muito curta para oferecer uma taxa maior do que a do atacante e tentar recuperar os fundos antes da confirmação. A Galaxy Research estima que as três primeiras ondas confirmadas drenaram 1.367 BTC (cerca de US$ 85,7 milhões) de 4.585 endereços de Bitcoin. Segundo a empresa, esses recursos não foram movimentados e seguem em carteiras controladas pelo atacante, sugerindo uma operação coordenada, e não um roubo oportunista. Ainda assim, nem todo o BTC roubado permaneceu parado. Uma vítima com quase 30 BTC teria tido 17 BTC encaminhados via ThorChain para o cassino online Duel, que, segundo relatos, orientou a vítima a registrar um boletim de ocorrência antes de considerar qualquer congelamento. O ataque decorre de uma vulnerabilidade que afeta seeds geradas em certas versões de firmware da Coldcard lançadas após março de 2021. A Coinkite, fabricante da Coldcard, confirmou que seeds criadas em dispositivos Mk3, Mk4, Mk5 e Q afetados ficam expostas. A empresa afirmou que um firmware corrigido impede o problema em seeds futuras, mas não consegue proteger as seeds antigas. A Coinkite informou também que destruiu todo o estoque remanescente vulnerável, suspendeu envios e está trabalhando com clientes e autoridades para tentar identificar os responsáveis. A orientação adicional é migrar imediatamente para uma nova seed em um dispositivo não afetado. Thorn destacou que todo endereço Coldcard de assinatura única gerado sob as condições vulneráveis tende, com o tempo, a ser drenado.