Resumo
Uma falha de firmware em uma atualização do Coldcard de março de 2021 permitiu que atacantes esvaziassem aproximadamente 1.367 BTC (~$88,6 milhões) de 4.585 endereços, com a Galaxy Research alertando que o ataque permanece ativo e recomendando a migração imediata dos fundos.
Principais destaques
Principais destaques
- A causa raiz é uma falha no firmware da Coldcard de março de 2021 que reduziu a entropia na geração da frase semente, tornando as chaves privadas para carteiras de assinatura única previsíveis e sistematicamente exploráveis.
- A Galaxy Research alerta que todas as carteiras de assinatura única criadas com o firmware com falha permanecem em risco; os usuários devem migrar seus fundos para carteiras geradas com software verificado imediatamente.
- A exploração desencadeou o maior volume diário de transações em bitcoin abaixo de 1 BTC desde novembro de 2022, refletindo uma mudança temporária da autogestão para exchanges centralizadas entre detentores menores.
- Pelo menos uma vítima, Jonathan Goodman, perdeu 18,25 BTC apesar de seguir práticas recomendadas de armazenamento offline, demonstrando que medidas de segurança física não podem compensar vulnerabilidades na geração de chaves criptográficas.
Uma exploração de segurança em larga escala direcionada a carteiras de hardware Coldcard resultou no roubo de quase 1.367 bitcoin, avaliados em aproximadamente US$ 88,6 milhões, segundo pesquisadores da Galaxy Research, que afirmam que o ataque permanece ativo e pode afetar usuários adicionais.
As últimas descobertas indicam que os atacantes já esvaziaram fundos de 4.585 endereços de bitcoin, com uma terceira onda de roubos empurrando os prejuízos totais observados para perto da marca de US$ 90 milhões.
Pesquisadores estão incentivando todos que utilizam carteiras geradas pelo Coldcard potencialmente afetadas a transferir seus ativos imediatamente.
Terceira onda impulsiona perdas para níveis mais altos
A Galaxy Research relatou que mais 207,73 BTC foram roubados durante a última onda de ataques, elevando as perdas totais estimadas para aproximadamente 1.367 BTC.
De acordo com Alex Thorn, chefe de pesquisa de toda a empresa da Galaxy Digital, os investigadores continuam a identificar endereços de vítimas e atacantes à medida que a exploração se desenrola.
"O ataque está em andamento", disse Thorn em uma postagem no X, aconselhando os usuários a transferirem fundos de endereços gerados pelo Coldcard vulneráveis sem demora.
A Galaxy disseminou centenas de endereços de carteiras suspeitos de atacantes às agências de aplicação da lei, provedores de conformidade e investigadores de cibersegurança para apoiar os esforços em andamento para rastrear os ativos roubados.
Falha de firmware relacionada à geração da seed da carteira
A exploração foi ligada a uma falha introduzida na atualização do firmware da Coldcard em março de 2021, que supostamente enfraqueceu a aleatoriedade utilizada durante a geração da frase semente.
Segundo pesquisadores, o problema afetou a criação de chaves privadas para certas carteiras de assinatura única, tornando-as significativamente mais fáceis de serem previstas por atacantes do que o pretendido.
A Galaxy acredita que os roubos foram altamente automatizados e coordenados, com Thorn sugerindo que os atacantes podem ter usado ferramentas de automação avançadas para identificar e esvaziar sistematicamente carteiras vulneráveis.
Ele também alertou que cada carteira de assinatura única afetada gerada usando o firmware com falha pode acabar sendo comprometida se os fundos permanecerem nesses endereços.
Detentores de longo prazo de bitcoin entre as vítimas
Pesquisadores observaram que muitos dos bitcoins roubados permaneceram inalterados por anos antes de serem retirados.
A Galaxy estima que os fundos comprometidos permaneceram inativos por um período médio de 3,18 anos, indicando que muitas vítimas eram detentoras de longo prazo de bitcoin que acreditavam que seus ativos estavam armazenados com segurança off-line.
No momento da publicação, os investigadores disseram que os fundos roubados permaneciam em carteiras controladas pelo atacante e ainda não haviam sido movidos adicionalmente.
Confiança na Autocustódia Abalada
A exploração provocou uma resposta incomum na comunidade Bitcoin, com alguns usuários afetados abandonando temporariamente a autogestão em favor de exchanges centralizadas ou carteiras recém-geradas.
Dados on-chain compartilhados por Julio Moreno, chefe de pesquisa da CryptoQuant, mostraram que as transferências de bitcoin abaixo de 1 BTC aumentaram na sexta-feira, com aproximadamente 39.600 BTC movidos em um único dia.
A figura representa o maior volume diário de transações abaixo de um Bitcoin desde novembro de 2022, pouco após o colapso da exchange de criptomoedas FTX, sugerindo uma onda de pequenos detentores transferindo seus ativos após a notícia da exploração.
A migração marca uma rara inversão da filosofia de longa data do bitcoin de "não são suas chaves, não são seus bitcoins", pois preocupações de segurança temporariamente superaram a preferência por autogestão.
Vítimas dizem que seguiram as melhores práticas
Entre os afetados estava o empresário e treinador canadense Jonathan Goodman, que disse que 18,25 BTC foram roubados de suas carteiras em minutos, apesar de ter armazenado sua frase de recuperação offline em um cofre.
Goodman escreveu que seguiu as práticas de segurança recomendadas e agora está relatando o incidente às autoridades policiais e aos reguladores canadenses.
O incidente renovou o debate sobre a segurança de carteiras de hardware e a importância de verificar a integridade do firmware, destacando que até soluções de armazenamento offline permanecem vulneráveis se a geração da chave criptográfica for comprometida.
Com a investigação em andamento, pesquisadores de segurança estão aconselhando todos os usuários que possam ter criado carteiras de assinatura única Coldcard usando o firmware afetado a transferir imediatamente seus bitcoins para novas carteiras geradas com software verificado.