A recente falha na Coldcard, uma das carteiras físicas de Bitcoin mais populares do mercado, resultou no roubo de mais de US$ 130 milhões em criptomoedas. O problema atingiu dispositivos que nunca se conectaram à internet, surpreendendo investidores pela forma como as chaves privadas foram descobertas.
Segundo dados da empresa de análise Galaxy Research, invasores conseguiram drenar mais de 1.596 BTC em três ondas de ataques confirmadas. A fabricante canadense Coinkite confirmou que pelo menos 15 atacantes diferentes se aproveitaram da brecha para localizar as chaves previsíveis.
O erro de programação começou em 2021, quando a fabricante migrou a biblioteca de criptografia dos aparelhos. Durante o processo, uma verificação no código desativou sem querer o gerador físico de números aleatórios do hardware, direcionando a criação das chaves para um algoritmo de software básico chamado Yasmarang.
Com essa alteração silenciosa, a aleatoriedade na geração de chaves caiu de 128 bits para apenas 40 bits nos modelos Mk2 e Mk3. Na prática, o processo deixou de ser imprevisível e se tornou determinístico, permitindo que computadores comuns adivinhassem os acessos em pouco tempo.
Como a falha na Coldcard afetou a segurança e o que fazer
Diante da vulnerabilidade, muitos usuários tentaram criar novas chaves utilizando dados físicos para adicionar aleatoriedade. O caso gerou debates entre desenvolvedores sobre a eficácia de dados comuns, mas análises técnicas indicam que pequenos desvios físicos nesses objetos causam perdas insignificantes de segurança perto da falha no software.
A fabricante lançou atualizações de firmware para corrigir a falha na Coldcard em todos os modelos afetados. No entanto, o ajuste no sistema não corrige de forma automática as frases de recuperação criadas no período vulnerável.
Os investidores que geraram suas chaves nos dispositivos impactados precisam atualizar o firmware do aparelho imediatamente. Em seguida, é necessário criar uma chave totalmente nova e transferir os fundos guardados para a nova carteira.
