O criminoso por trás do mais recente hack da carteira Coldcard voltou a movimentar seus fundos. Desta vez, foram transferidos 97,09 Bitcoins (BTC), o equivalente a aproximadamente US$ 7,7 milhões, montante que representa cerca de 45% do total obtido na terceira onda de ataques aos dispositivos.
De acordo com dados da Galaxy Research, o invasor criou 293 cofres no formato de endereços multisig (duas de duas assinaturas) para armazenar os ativos roubados. Ele está esvaziando essas carteiras em ordem decrescente, começando por aquelas que possuem os maiores valores.
A primeira movimentação ocorreu em 2 de setembro, quando cerca de 20,5 BTC do maior cofre foram convertidos em Ethereum por meio do protocolo THORChain. Já na noite de domingo, parte dos fundos foi direcionada para serviços de CoinJoin, técnica de privacidade que mistura transações de diversos usuários para dificultar o rastreio.
Ao todo, apenas 20,56 BTC chegaram à rede Ethereum até o momento. Outros 57,24 BTC permanecem sem movimentação em um único endereço como troco de CoinJoin, enquanto a análise da firma aponta que a pista de mais 19 BTC foi interrompida.
Dos 293 cofres criados pelo invasor, 11 já estão totalmente vazios. Os dez seguintes concentram 30,81 BTC no total, enquanto os 233 cofres menores abrigam os 33,77 BTC restantes.
Origem da falha e impactos do hack da Coldcard
As invasões ocorreram devido a um problema no firmware lançado pela Coinkite em março de 2021. A atualização redirecionou a geração das frases de recuperação (seeds) do chip gerador de números aleatórios do hardware para um sistema de software, reduzindo a força da chave de 128 bits de entropia para até 40 bits.
Com essa vulnerabilidade explorada no hack da carteira Coldcard, criminosos conseguiram recriar as chaves privadas fora da rede e drenar os fundos de carteiras de assinatura única, sem precisar interagir fisicamente com o dispositivo. As varreduras dos saldos começaram no dia 30 de julho.
Para mitigar o problema, a Coinkite atualizou os sistemas para as versões Mk4/Mk5 5.6.2 e Q 1.5.2Q, exigindo agora que os usuários forneçam a própria aleatoriedade via dados manuais, como rolagem de dados ou lançamentos de moedas. No entanto, a atualização não corrige frases geradas sob a versão defeituosa, exigindo a criação de novas chaves e a transferência imediata dos valores.
O CEO da empresa, Rodolfo Novak, pediu desculpas publicamente em carta aberta no dia 31 de julho, afirmando o compromisso de reconquistar a confiança dos usuários.
Além disso, análises recentes identificaram um novo cofre alimentado por 58 endereços, elevando o total acumulado no hack da carteira Coldcard para cerca de 1.806 BTC (US$ 143,9 milhões), sem contar uma quarta onda não confirmada de 638,5 BTC. Cerca de 82% do montante roubado permanece nos endereços iniciais do ataque.
