Falha de segurança do Coldcard pode ter exposto 1.128 BTC valued at $71,1M

Uma falha de cinco anos no software Coldcard pode ter permitido a um atacante reconstruir chaves privadas e transferir mais de 1.100 bitcoin, levando o criador da carteira a atribuir parcialmente a descoberta à inteligência artificial (IA).

O incidente tornou-se público após aproximadamente 594 BTC, avaliados em cerca de US$ 38 milhões na época, serem transferidos de cerca de 500 endereços bitcoin de assinatura única em 30 de julho. When the news first broke, Bitcoin.com News noted que as transferências ocorreram dentro de aproximadamente 25 minutos e pareciam visar carteiras com uma fraqueza técnica comum.

Mais tarde, análises da blockchain ampliaram a escala possível do roubo. Pesquisadores estimaram que entre 1.082 e 1.196 endereços podem ter sido afetados durante um período de cerca de 41 minutos. Um painel personalizado chamado Coldcard Sweep Watch posteriormente fixou o total em 1.128,4717 BTC, valendo cerca de US$ 71,1 milhões quando o bitcoin era negociado próximo a US$ 63.044.

A maioria dos fundos foi consolidada em um endereço que detinha centenas de bitcoin, onde uma grande parte permaneceu largely estacionária. Os endereços afetados estavam ligados por um detalhe importante: suas sementes de recuperação haviam sido criadas em carteiras de hardware Coldcard fabricadas pela empresa canadense Coinkite.

Uma seed de recuperação é uma lista de palavras que controla o acesso a uma carteira de criptomoeda. Qualquer pessoa que consiga reconstruir ou obter essa seed geralmente pode mover os fundos da carteira sem possuir o dispositivo físico.

Coinkite emitiu um aviso urgente alertando que certas sementes geradas em dispositivos Coldcard poderiam ser fracas. Dispositivos Mk3 com a versão do firmware 4.0.1, lançada por volta de março de 2021, e versões posteriores estavam entre os que enfrentavam o maior risco.

Uma análise mais aprofundada ampliou a preocupação para sementes criadas em alguns dispositivos Mk4, Mk5 e Q antes de Coinkite liberar correções de firmware de emergência. Os produtos Tapsigner, Opendime e Satscard não foram afetados, segundo relatos, pois utilizam software diferente.

A falha envolveu o processo usado para gerar dados aleatórios. Carteiras seguras dependem de aleatoriedade de alta qualidade para que suas sementes de recuperação não possam ser adivinhadas. Nos dispositivos Mk3 mais gravemente afetados, os pesquisadores estimaram que a semente pode ter contido apenas cerca de 40 bits de aleatoriedade efetiva, em vez dos 128 bits pretendidos.

Essa diferença é crítica. Uma semente de 128 bits gerada corretamente é considerada praticamente impossível de ser adivinhada por força bruta. Uma semente de 40 bits oferece muito menos possibilidades, permitindo que um atacante com poder computacional suficiente teste sementes potenciais offline e compare os endereços resultantes com a blockchain pública de bitcoin.

Alguns dispositivos mais recentes podem ter fornecido aproximadamente 72 bits de aleatoriedade efetiva porque o hardware seguro adicionou uma camada adicional de dados imprevisíveis. Isso tornaria as sementes mais difíceis de reconstruir, embora ainda muito mais fracas do que o pretendido.

O problema começou com um erro de configuração em tempo de compilação envolvendo duas funções de software que realizavam tarefas semelhantes. Uma função utilizava o gerador de números aleatórios verdadeiros baseado em hardware do dispositivo, enquanto a outra dependia de um processo de software mais fraco herdado do MicroPython.

A Coinkite pretendia desativar a opção MicroPython. No entanto, uma verificação de software analisava apenas se um rótulo de configuração havia sido definido, e não se seu valor havia sido definido como zero. Como resultado, o firmware final poderia selecionar silenciosamente a função mais fraca.

Como as duas funções tinham formatos correspondentes, o software continuou a ser compilado e executado sem produzir um erro óbvio. O erro foi introduzido no código durante uma migração de software por volta de 2021 e permaneceu no firmware disponibilizado ao público por mais de cinco anos.

Atualizar um dispositivo agora não fortalece uma seed gerada sob o software com falha. Usuários afetados devem criar uma nova seed completamente usando o firmware corrigido ou outro dispositivo seguro, e depois transferir seus fundos para endereços controlados por essa nova seed.

Usuários que adicionaram pelo menos 50 lançamentos de dados independentes ao criar sua seed podem ter fornecido suficiente aleatoriedade extra para evitar a fraqueza. Uma frase-passe BIP-39 forte também poderia ter dificultado a reconstrução, enquanto carteiras que exigem assinaturas de vários dispositivos independentes podem ter impedido que uma seed comprometida movimentasse fundos sozinha.

O CEO da Coinkite, Rodolfo Novak, se desculpou publicamente e disse que a empresa assumiu total responsabilidade pela falha no firmware. Ele afirmou que a equipe estava trabalhando no software corrigido, relatórios técnicos e suporte aos usuários afetados.

Coinkite e Novak também avançaram uma teoria surpreendente sobre como a falha foi descoberta. Como seu firmware estava disponível publicamente há anos, a empresa disse acreditar que alguém pode ter usado IA para examinar versões mais antigas do código e localizar o caminho de aleatoriedade fraca.

“Para todos os outros desenvolvedores: acreditamos que esta é uma realidade sóbria do novo paradigma da IA. A revisão de código assistida por IA agora pode encontrar bugs latentes em uma velocidade que está ultrapassando até mesmo os especialistas mais experientes da indústria,” Novak escreveu em seu post de desculpas publicado no X. “Se seu firmware é de código aberto ou já foi público, assuma que já está sendo lido por atacantes e defensores igualmente.”

Sistemas modernos de codificação com IA de hoje podem processar grandes repositórios de software e identificar relações suspeitas entre configurações, funções e suposições de segurança. Um atacante poderia pedir a esse sistema que busque especificamente geradores de números aleatórios fracos, funções de fallback ou erros que afetem chaves criptográficas.

Pesquisadores independentes relataram posteriormente o uso de modelos de IA para localizar ou explicar o problema após o conhecimento do problema de aleatoriedade subjacente. Isso demonstrou o quão acessível se tornou a análise de código assistida por IA, mas não estabeleceu que o atacante original usou IA.

Coinkite reconheceu que sua própria revisão usando um modelo de IA líder não conseguiu identificar a falha antes do roubo. Esse resultado mostra que os sistemas de IA não encontram automaticamente todos os defeitos graves. Seu desempenho pode depender das instruções que recebem, da quantia de código fornecida e se um revisor humano entende os sinais de alerta.

Alguns especialistas em segurança argumentam que se concentrar excessivamente nos riscos da inteligência artificial (IA) pode desviar a atenção de uma falha básica de engenharia. Muitos acreditam que o erro de configuração era um tipo conhecido de erro de software, e revisões de código convencionais, procedimentos de teste ou auditorias centradas na geração de seed poderiam ter detectado isso anos atrás.

As visões opostas não são necessariamente incompatíveis. Um erro humano criou a vulnerabilidade e permitiu que ela persistisse, enquanto a IA pode ter reduzido o custo de encontrar, compreender ou explorá-la. Os defensores devem identificar todas as fraquezas perigosas, enquanto um atacante precisa localizar apenas uma.

O incidente também desafia suposições sobre segurança de código aberto. Código público permite que especialistas independentes inspecionem o software, mas a disponibilidade sozinha não garante que alguém revisará a seção correta, reconhecerá um defeito sutil e o relatará antes que um atacante atue.

Para usuários do Coldcard, a prioridade imediata é determinar quando e como sua seed foi criada. Qualquer pessoa com uma seed afetada deve verificar as instruções por meio dos canais oficiais da Coinkite, instalar o firmware corrigido, criar uma nova seed e transferir os fundos com cuidado, observando tentativas de phishing e mensagens falsas de suporte.

As perguntas de longo prazo girarão em torno de quanto bitcoin foi retirado, se os investigadores conseguem identificar o atacante, e se a IA desempenhou algum papel decisivo na descoberta da falha. As empresas de carteiras de hardware também enfrentarão pressão para fortalecer os testes de entropia, auditar configurações de construção e examinar continuamente código antigo com especialistas humanos e ferramentas de IA adversarial.