Ataque esvazia US$ 70 milhões em bitcoin de carteiras frias sem tocar nos dispositivos

Um ataque drenou mais de 1.000 bitcoins — cerca de US$ 70 milhões — de 1.196 carteiras em uma janela de 41 minutos em 30 de julho, quase o dobro do valor inicialmente divulgado. A Galaxy Research reconstituiu o episódio na sexta-feira e identificou a varredura de 1.082,65 BTC entre 01:10 e 01:51 UTC, em seis blocos. Três blocos intermediários não tiveram movimentações, sinal de que as transações foram disparadas em lotes. Os recursos permanecem parados em quatro endereços. O total cresceu porque os primeiros relatos capturaram apenas um desses endereços. Embora o montante seja menor do que o de alguns grandes ataques deste ano, o que chama atenção é o método: em vez de invadir uma corretora, enganar um contrato ou roubar uma chave por phishing, o atacante não precisou acessar o dispositivo da vítima. Isso atinge o principal argumento das hardware wallets: manter a chave em um equipamento que nunca se conecta à internet. A investigação aponta para um problema no processo de geração da "seed", o número-base do qual derivam endereços e chaves privadas. No caso da Coldcard, o firmware deveria obter essa seed de um gerador dedicado de aleatoriedade em hardware. Uma configuração interna de compilação instruía o sistema a ignorar esse gerador, e uma checagem em uma biblioteca de suporte verificava apenas se a configuração existia, não se estava ativada. Com isso, a geração de chaves recuava para um substituto de software alimentado pelo número de série do chip e por registros do relógio. Como o número de série é um dado fixo de fábrica e os valores do relógio podem ser estimados ou medidos em um dispositivo equivalente, o espaço de chaves possíveis encolheu drasticamente: de praticamente infinito para algo enumerável. Equipes de segurança concluíram que, nos modelos mais antigos Mk2 e Mk3 (linhas da Coldcard), as chaves poderiam ser determinadas; nos modelos Mk4, Q e Mk5, o universo teria ficado em torno de quatro bilhões de possibilidades — um número grande para humanos, pequeno para computadores. O ataque pode ser executado inteiramente do lado do invasor: ele gera seeds candidatas em seu próprio hardware, deriva os endereços correspondentes e compara com a blockchain pública. Em nenhum momento o dispositivo da vítima é usado; ele poderia estar desligado e guardado em um cofre em outro continente. A análise da Galaxy aponta sinais desse processo. Das carteiras drenadas, 1.183 usavam o formato nativo segwit, sete um padrão mais antigo e seis um ainda mais antigo. A presença de três formatos indica varredura sistemática, testando cada seed candidata contra todos os caminhos de derivação possíveis. A Galaxy alertou que novas ondas são prováveis caso os usuários não movam os fundos. Também não há como o proprietário confirmar se está exposto: não existe um teste local que revele se a seed caiu dentro do intervalo reproduzível. A Coinkite, fabricante da Coldcard, emitiu alerta para donos do Mk3 e afirma que os dispositivos mais novos não são afetados. Já um relatório da Block inclui Mk2, Mk4, Q e Mk5 no escopo. Até que o quadro seja esclarecido, quem gerou seed no firmware afetado precisa assumir o pior, não verificar. O operador, porém, teria cometido um erro. Clay Garrett, da Block, disse no X que o invasor usou uma conta paga de um "provedor bem conhecido de dados de blockchain" para consultar os endereços de origem durante as varreduras, e que os logs internos do provedor teriam correspondido ao fluxo suspeito com "especificidade extraordinária" — incluindo número, horário e sequência das requisições. O provedor, ao que tudo indica, prestava serviços comuns sem indícios do uso final. A Block afirmou ter repassado as informações às autoridades. O caso expõe uma mudança de risco: o armazenamento a frio promete que a chave é impossível de adivinhar. Muitos interpretaram isso como impossível de alcançar. Só que o custo de encontrar e explorar falhas na primeira promessa vem caindo. Na terça-feira, a Anthropic publicou uma pesquisa indicando que um de seus modelos reduziu pela metade a segurança de um candidato a algoritmo pós-quântico em 60 horas, apesar de o desenho ter resistido a dois anos de revisão especializada. Guardar a chave com segurança passou a ser a parte mais fácil do problema.