Mais de 1.000 bitcoin, com valor aproximado de US$ 70 milhões, foram retirados de 1.196 carteiras em um período de 41 minutos em 30 de julho, quase o dobro da quantia relatada quando o roubo foi inicialmente divulgado.
A Galaxy Research mapeou o evento completo em sexta-feira, encontrando 1.082,65 BTC movimentados entre 01:10 e 01:51 UTC em seis blocos, com três blocos intermediários vazios, o que sugere que as transações foram transmitidas em lotes, e não continuamente.
Os proventos estão em quatro endereços e não se moveram. A relatoria inicial capturou apenas um desses endereços, por isso o valor aumentou.
O tamanho do ataque é muito menor do que alguns dos maiores ataques deste ano, mas o mecanismo é o que torna isso incomum — e por que o ataque é tão importante.
A maioria dos roubos de criptomoedas envolve acessar algo. Uma exchange é invadida, um contrato é enganado, uma chave é phishingada de um laptop. A defesa sempre foi a distância, exatamente o que uma carteira de hardware vende. Mantenha a chave em um dispositivo que nunca se conecta à internet e, teoricamente, não há nada para um atacante tocar.
Quando uma carteira é criada, o dispositivo deve escolher um número tão grande e tão imprevisível que adivinhá-lo seja impossível.
Esse número é a semente, e todos os endereços e chaves privadas são derivados dela por regras públicas fixas. O firmware do Coldcard foi projetado para obter esse número de um gerador de aleatoriedade de hardware dedicado. Uma configuração interna de compilação o instruía a pular esse gerador, e uma verificação em uma biblioteca de suporte testava apenas se a configuração existia, e não se estava ativada.
A geração da chave recorreu a um substituto de software básico alimentado pelo número de série do chip e pelos registradores de relógio. Esse número de série é metadado fixo de fábrica, e os valores de relógio são estados de temporização que um atacante pode reduzir ou medir em um dispositivo próprio.
A consequência foi que o intervalo de chaves que o dispositivo poderia jamais produzir reduziu-se de imensuravelmente vasto para contável. As equipes de segurança descobriram que a geração de chaves podia ser determinada nos modelos mais antigos Mk2 e Mk3 — números para diferentes modelos do Coldcard — mas no Mk4, Q e Mk5, elas estimaram o intervalo em aproximadamente quatro bilhões de possibilidades.
Quatro bilhões é um número grande para uma pessoa, mas pequeno para um computador. Um atacante gera sementes candidatas em seu próprio hardware, deriva os endereços que cada uma produziria e verifica esses endereços contra a blockchain pública, que qualquer um pode baixar.
Cada etapa desse processo ocorre no computador do atacante. O dispositivo da vítima não é envolvido em nenhum momento e poderia estar desligado em um cofre em outro continente.
A análise da Galaxy mostra o processo em execução. Das carteiras esvaziadas, 1.183 usaram o formato moderno de endereço segwit nativo, sete usaram um formato mais antigo e seis um ainda mais antigo. Ninguém alveja uma vítima específica em três formatos de endereço ao mesmo tempo.
Essa é uma enumeração sistemática, verificando cada semente candidata em cada caminho que ela possa ter produzido. O operador pode ampliar a busca, refiná-la e retornar sempre que desejar.
Galaxy alertou que mais ondas são prováveis se os proprietários não transferirem seus fundos.
Nem o proprietário pode determinar se está exposto. Não há nenhum teste que possa ser executado na sua própria carteira para revelar se sua seed está dentro da faixa reproduzível.
A Coinkite, criadora da Coldcard, alertou os proprietários do Mk3 e afirma que seus dispositivos mais recentes não são afetados, enquanto o relatório da Block inclui também o Mk2, Mk4, Q e Mk5. Enquanto isso não for resolvido, qualquer pessoa que gerou uma seed no firmware afetado deve assumir o pior em vez de verificá-la.
O atacante cometeu um erro, no entanto.
Clay Garrett, da Block, disse no X que o operador usou uma conta paga em um “fornecedor de dados de blockchain bem conhecido” para consultar os endereços de origem durante as varreduras, e que os logs internos do provedor corresponderam ao fluxo de trabalho suspeito com uma especificidade extraordinária, até o número, o horário e a sequência das requisições.
1/ Durante nossa investigação do esvaziamento do Coldcard ontem, identificamos um padrão incomum nas varreduras. Esse padrão nos levou a uma hipótese que foi posteriormente confirmada: o operador usou uma conta paga em um provedor bem conhecido de serviços de blockchain para consultar a origem… https://t.co/l5McyhhcNn
— Clay Garrett (@clay_garrett)O provedor parece ter fornecido serviços comuns a solicitações que não indicavam sua finalidade. Block encaminhou as informações às autoridades.
O armazenamento a frio promete que uma chave é impossível de adivinhar. Todos interpretam isso como uma promessa de que uma chave é inacessível, e o custo de encontrar e explorar falhas no primeiro tipo continua caindo.
A Anthropic publicou pesquisas na terça-feira mostrando que um de seus modelos reduziu pela metade a segurança de um algoritmo pós-quantico candidato em 60 horas, contra um design que havia sobrevivido a dois anos de revisão por especialistas.
Armazenar uma chave com segurança é agora a metade mais fácil do problema.