A escala da exploração da carteira de hardware Coldcard está se tornando claramente evidente. A Galaxy Research agora confirmou com alta confiança que pelo menos 1.719 BTC foram roubados em várias contas de usuários, valorizando a violação em aproximadamente US$ 111 milhões aos preços recentes. Mas esse número pode não ser o limite. Os prejuízos totais, segundo a última avaliação da equipe de pesquisa citada em the original report, provavelmente ultrapassarão US$ 130 milhões uma vez que todos os casos pendentes forem verificados.
Mais de 25 padrões de ataque distintos foram identificados, e os investigadores agora acreditam que múltiplos atores de ameaça estão explorando ativamente a vulnerabilidade. O número de vítimas está aumentando; a Galaxy confirmou ter recebido relatos de mais de 250 indivíduos. Se todos os casos forem finalmente confirmados, o total roubado pode ultrapassar 2.300 BTC. Por enquanto, os únicos dispositivos de hardware conhecidos por serem afetados são o Coldcard Mk3, Mk4, Mk5 e o modelo Q. Não há evidências de que o bug tenha se espalhado para outros dispositivos de assinatura ou carteiras, e a Galaxy não indicou que qualquer software ou firmware associado fora do ecossistema do Coldcard esteja comprometido.
Um pesadelo de autogestão
Este incidente atinge a própria base da cultura de auto-custódia. O Coldcard é amplamente considerado uma das carteiras de hardware de bitcoin mais seguras, especificamente projetada para armazenamento em ambiente isolado e de segurança paranoica. O fato de ter sido comprometido nessa escala, com o que parece ser uma janela de exploração de longa duração, abalará a confiança de usuários que investiram toda a sua riqueza líquida nele. Também complica a já tensa conversa legislativa sobre proteções à auto-custódia em Washington. Apenas dias antes de uma votação crucial no Senado sobre uma legislação de cripto de grande relevância — discutida em nossa cobertura de como os bancos estão tentando remodelar o projeto de lei — uma exploração dessa magnitude fornece aos oponentes das regras liberais de auto-custódia um novo ponto de dados poderoso.
Carteiras de hardware têm sido vendidas como a defesa definitiva contra ataques de hackers, mas ainda permanecem vulneráveis a ataques de cadeia de suprimentos, alteração de firmware e explorações físicas por canais secundários. Neste caso, o vetor de entrada exato não foi detalhado publicamente pela Coinkite nem pela Galaxy, mas a existência de tantos padrões distintos sugere que não se tratou de um único bug. Um gerador de números aleatórios mal configurado, um componente da cadeia de suprimentos comprometido ou uma falha nos protocolos de comunicação do dispositivo poderiam todos estar em jogo. Para os usuários que perderam fundos, há o amargor adicional de que a imutabilidade do bitcoin torna a recuperação dos fundos virtualmente impossível.
O que vem a seguir para as vítimas e o mercado
Com mais de 250 vítimas já identificadas, as consequências legais e de reputação estão aumentando para a Coinkite, fabricante do Coldcard. A empresa ainda não divulgou um pós-mortem técnico detalhado, e o mercado aguarda para ver se uma correção é sequer viável para o hardware existente ou se substituições são necessárias. Até agora, apenas a própria linha Coldcard parece estar infectada, mas a descoberta de múltiplos atacantes independentes sugere que a vulnerabilidade pode ter sido amplamente conhecida em certos círculos antes de se tornar pública. Isso levanta a possibilidade desconfortável de que a exploração foi inicialmente descoberta e negociada em segredo, tornando-se manchete apenas após os prejuízos se multiplicarem.
Do ponto de vista institucional, esse evento impulsionará fundos e grandes detentores a examinarem mais intensamente suas escolhas de dispositivos. Soluções de armazenamento a frio baseadas em multi-sig e custodiadores podem ver um renascimento de interesse. A questão do seguro também ressurge: a maioria dos usuários de auto-custódia não possui cobertura alguma, enquanto custodiadores regulamentados incluem seguro em seus serviços. O valor de mais de US$ 130 milhões, embora pequeno em comparação com o capital de mercado total do bitcoin, é suficientemente grande para atrair atenção regulatória em um momento em que legisladores estão avaliando como classificar e supervisionar provedores de carteiras.
Incerteza paira
Várias perguntas sem resposta tornam esta uma história que se desenvolverá ainda mais. O relatório da Galaxy não esclarece como os atacantes conseguiram extrair chaves privadas ou assinar transações sem acesso físico aos dispositivos. É possível que a vulnerabilidade tenha permitido a um atacante que obteve acesso temporário—talvez durante o transporte ou por meio de um revendedor comprometido—drenar fundos posteriormente sem acesso contínuo. O fato de existirem mais de 25 padrões indica que múltiplas técnicas foram empregadas, e não se pode descartar que algumas vítimas tenham inadvertidamente utilizado atualizações de firmware maliciosas de fontes não oficiais.
A comunidade fica para avaliar se a marca Coldcard pode recuperar sua reputação. A segurança de carteiras de hardware envolve tanto confiança quanto design criptográfico. Uma vez que essa confiança é quebrada em escala de milhares de moedas, o caminho de volta é longo. Enquanto isso, outros fabricantes provavelmente usarão esse evento para promover seus próprios dispositivos como superiores, e a lição mais ampla para a indústria é clara: auto-custódia exige vigilância constante, e nenhum único dispositivo deve ser tratado como um escudo mágico.