Os desenvolvedores da carteira Coldcard estão pedindo aos usuários que transfiram urgentemente seus bitcoin, confirmando na terça-feira que a exploração — que já esvaziou até US$ 114 milhões de carteiras de auto-custódia — ainda está em andamento.
"Por favor, trate isso como urgente. Migre seus fundos", a empresa escreveu, acrescentando que a ameaça está ativa e pedindo aos usuários que avisem os titulares que estão "menos online" e podem não ter visto o alerta. Essas são as carteiras mais expostas, pois a correção precisa ser feita manualmente.
Por favor, trate isto como urgente. Migre seus fundos. Siga o conselho para o seu modelo, atualize seu dispositivo, gere uma nova seed e transfira cuidadosamente seus fundos.
Ajude a espalhar a palavra, especialmente para pessoas que estão menos online e podem não ver esta atualização.
A ameaça ainda está em andamento. https://t.co/cbJxJles8x
O aviso não é preventivo. CoinDesk relatou na segunda-feira que uma possível quarta onda de transferências ocorreu durante o dia, retirando aproximadamente 449 BTC de 709 endereços, segundo a contagem revisada da Galaxy Research, e elevando os prejuízos acumulados de cerca de US$ 89 milhões para até US$ 114 milhões.
A falha está ligada a um firmware que permaneceu inativo desde 2021, conforme CoinDesk escreveu na sexta-feira, o que significa que um onde uma única chave controla os fundos sem necessidade de aprovação adicional continua em risco até que seu titular atue.
Assim, o risco está confinado a dispositivos e firmware específicos. Os proprietários do Mk3, modelo de 2019 da Coldcard, devem mover seus fundos agora se a carteira foi configurada com firmware 4.0.1 ou posterior.
Coinkite disse que a exceção são todos aqueles que usaram a opção de dados do dispositivo, onde o usuário rola fisicamente os dados pelo menos 50 vezes e digita os resultados, e a carteira constrói sua chave a partir desses números em vez de gerar a própria. Essas carteiras nunca entraram em contato com o código com falha e estão seguras. Proprietários de Mk4, Mk5 e Q com firmware abaixo de 5.6.0 ou 1.5.0Q devem atualizar, criar uma nova carteira e então transferir seus fundos.
Uma seed é a chave mestre que controla as moedas de uma carteira, portanto, uma gerada com pouca aleatoriedade pode ser adivinhada e regenerada por um atacante, que pode então esvaziar a carteira sem nunca tocar no dispositivo.
"Cada carteira depende, em última análise, de um segredo raiz gerado a partir de entropia de alta qualidade", disse Bouzon ao CoinDesk por e-mail, acrescentando que a geração dessa entropia "deve estar ancorada em hardware seguro, com uma arquitetura que não possa fazer downgrade silenciosamente para uma fonte baseada em software não confiável".
Ele disse que as alternativas são piores, chamando carteiras de software em hardware não seguro de ainda mais arriscadas e afirmando que entregar fundos a uma exchange centralizada "não é propriedade, é uma promessa de pagamento."
O bitcoin operou próximo a US$ 63.800 nas primeiras horas dos EUA na terça-feira, com pouca movimentação após o aviso sobre a carteira, segundo dados da CoinDesk.