Carteiras Coldcard afetadas por vulnerabilidade de seed, milhões em bitcoin roubados

Um atacante explorou sementes fracas geradas por certas carteiras de hardware Coldcard para roubar bitcoin no valor de dezenas de milhões de dólares de centenas de endereços em 30 de julho.

De acordo com uma análise aprofundada da Galaxy Research, o roubo principal ocorreu em uma explosão altamente coordenada que durou cerca de 25 minutos, enquanto análises mais amplas posteriormente conectaram aproximadamente 1.196 endereços e até 1.083 bitcoin, avaliados em quase US$ 70 milhões, a atividades que se estenderam por aproximadamente 41 minutos. Os valores finais podem mudar à medida que os investigadores continuam rastreando transações na blockchain pública do bitcoin.

As carteiras afetadas pertenciam em grande parte a detentores de longo prazo que geraram suas sementes de recuperação usando Coldcard devices running vulnerable firmware lançados a partir de março de 2021. O Coldcard é uma carteira de hardware air-gapped fabricada pela empresa canadense Coinkite e projetada para manter as chaves de bitcoin (BTC) isoladas de dispositivos conectados à internet.

Muitos dos endereços esvaziados permaneceram inativos por anos. O atacante agiu rapidamente, pagou taxas de transação fixas elevadas e não deixou saídas de troco, o que significa que cada endereço foi esvaziado completamente. Esse padrão sugere uma operação automatizada usando uma lista prévia de chaves privadas, e não clientes movendo seus fundos independentemente.

O roubo não foi causado por phishing, malware no computador de um usuário, roubo físico de dispositivo ou uma violação remota convencional. Em vez disso, um erro de firmware enfraqueceu a aleatoriedade utilizada quando alguns dispositivos Coldcard criaram seeds de carteira. Essas seeds pareciam normais, mas vieram de um intervalo muito menor de combinações possíveis do que o prometido aos usuários.

A seed da carteira de bitcoin é um segredo, comumente exibido como 12 ou 24 palavras, a partir do qual a carteira gera seus endereços e chaves privadas. Uma seed de 12 palavras corretamente gerada contém 128 bits de entropia, uma medida técnica que descreve um número imenso de combinações possíveis, tornando praticamente impossível adivinhar a seed.

Dispositivos Coldcard deveriam obter essa aleatoriedade de um gerador de números aleatórios de hardware dentro do microcontrolador do dispositivo. O componente extrai ruído elétrico físico que um observador externo não deveria ser capaz de prever.

Durante uma migração de biblioteca de software em 2021, no entanto, a Coinkite divulgou que duas funções de número aleatório com interfaces idênticas se confundiram. Uma acessava o gerador de hardware adequado do dispositivo. A outra era um fallback de software fraco destinado a placas sem hardware adequado.

Uma configuração desativou o caminho padrão do hardware MicroPython porque a Coinkite forneceu seu próprio wrapper de hardware. O software verificou apenas se essa configuração existia, não se estava ativada. Como a configuração estava presente, mas atribuída a um valor de zero, a compilação foi concluída com sucesso, enquanto a geração da seed mudou silenciosamente para o gerador de software mais fraco.

Esse recurso de fallback dependia fortemente de informações previsíveis do dispositivo, incluindo um identificador de chip semelhante a um número de série e valores de relógio interno associados ao tempo de inicialização. Um atacante que conseguisse reduzir essas entradas enfrentaria uma busca muito menor do que o intervalo de 128 bits esperado de uma semente gerada com segurança.

A Coinkite estimou o espaço de busca efetivo para sementes vulneráveis Mk3 em cerca de 40 bits sob as suposições atuais. Ainda é um grande número de possibilidades, mas pode ser pesquisado com equipamentos de computação especializados, especialmente quando um atacante pode comparar sementes candidatas com endereços bitcoin visíveis na blockchain.

Modelos posteriores do Coldcard, incluindo o Mk4, Q e Mk5, adicionaram alguma aleatoriedade de um elemento seguro. No entanto, apenas uma parte limitada atingiu o gerador afetado, deixando uma estimativa de 72 bits de entropia efetiva em seeds criados antes da instalação do firmware corrigido. Isso era mais forte que o caminho do Mk3, mas ainda abaixo do padrão pretendido de 128 bits.

A diferença é semelhante a substituir uma combinação de cadeado verdadeiramente aleatória por uma derivada do número de série do cadeado e do momento em que foi ligado pela primeira vez. A combinação resultante pode parecer aleatória, mas alguém que conheça a fórmula e consiga estimar as informações iniciais pode reproduzi-la. Muitos usuários estão migrando, não apenas de dispositivos Mk3, mas também de Mk4, Q e Mk5.

Coinkite lançou avisos de segurança e corrigiu o firmware após se tornar ciente da ameaça ativa. A empresa disse que os usuários que geraram seeds em firmware afetado devem criar uma seed completamente nova usando uma versão corrigida e transferir seus bitcoin para endereços controlados por essa seed.

Instalar a atualização sozinha não é suficiente. Uma seed criada sob o sistema com falha permanece fraca permanentemente, pois a atualização de firmware não pode adicionar aleatoriedade a palavras que já existem.

A Coinkite aconselhou os usuários a atualizarem seu dispositivo, criarem uma nova seed, verificarem o backup e a impressão digital da carteira, confirmarem o endereço de recebimento, enviarem uma pequena transação de teste e, em seguida, transferirem o saldo restante. Os usuários devem manter o backup antigo até que a transferência seja confirmada, mas não devem mais considerar a seed antiga como segura.

A empresa identificou lançamentos fixos, incluindo a versão Mk3 4.2.0 ou posterior, Mk4 e Mk5 versão 5.6.0 ou posterior, e Q versão 1.5.0Q ou posterior, juntamente com as versões correspondentes do Edge. Os produtos Tapsigner, Opendime e Satscard utilizam código diferente e, segundo relatos, não foram afetados.

Usuários que adicionaram suficientes lançamentos independentes de dados ao gerar uma seed estavam substancialmente protegidos, pois sua própria aleatoriedade superou a entrada defeituosa do software. A Coinkite afirmou que pelo menos 50 lançamentos privados de um dado justo fornecem proteção adequada contra esse problema, embora lançamentos adicionais possam proporcionar uma margem de segurança mais ampla.

Uma frase-passe BIP-39 forte também cria uma carteira separada que não pode ser reconstruída apenas com as palavras-semente. Carteiras de múltiplas assinaturas, que exigem chaves de vários dispositivos ou locais antes que o bitcoin possa ser movido, foram amplamente ou totalmente protegidas quando a seed vulnerável do Coldcard representava apenas uma parte do arranjo de assinatura.

Essas proteções eram opcionais, no entanto. Muitas vítimas parecem ter seguido o conselho de segurança padrão disponível na época: compre uma carteira de hardware respeitada, gere a seed offline, proteja o backup e nunca a insira em um dispositivo conectado à internet.

O CEO da Coinkite, Rodolfo Novak, amplamente conhecido como NVK, se desculpou publicamente em 31 de julho e disse que a empresa aceitou total responsabilidade pela falha no firmware. “Sinto muito e estou devastado. Nossa equipe está desolada com as notícias de ontem”, escreveu Novak. Ele reconheceu que o hotfix protege sementes recém-criadas, mas não consegue corrigir sementes geradas sob software vulnerável.

Novak explicou que a Coinkite publicaria uma conta técnica completa após verificar os detalhes e ajudaria os usuários afetados que buscassem relatórios policiais, reclamações de seguro ou investigações independentes. Ele também alertou os desenvolvedores de que inteligência artificial (IA) pode agora escanear código público antigo em busca de fraquezas ocultas mais rapidamente do que os processos tradicionais de revisão podem detectar.

A Coinkite destacou que deve assumir que um atacante usou IA para inspecionar seu firmware de código aberto, embora nenhuma evidência tenha estabelecido como a falha foi descoberta. A empresa também reconheceu que uma revisão recente realizada com um modelo de IA líder não conseguiu identificar o problema. Vários fabricantes concorrentes de carteiras de hardware recorreram às redes sociais para observar que seus produtos não são afetados.

“O Ledger não é afetado pelo aviso recentemente publicado sobre o Coldcard Mk3,” a empresa disse aos usuários do X após o incidente com o Coldcard. “Os dispositivos Ledger utilizam um Gerador de Números Aleatórios Verdadeiros (TRNG) certificado integrado diretamente no nosso chip Secure Element, gerando 256 bits completos de entropia para cada frase de recuperação secreta de 24 palavras.”

Usuários do Trezor: seus fundos estão seguros,” a fabricante de carteiras de hardware Trezor explicou na sexta-feira. “O problema recente com o Coldcard é limitado ao seu próprio firmware personalizado e à forma como alguns de seus dispositivos geraram aleatoriedade. O Trezor não compartilha esse código.”

A conta Trezor X adicionada:

Sempre misturamos várias fontes independentes de aleatoriedade (hardware do dispositivo + host + elementos seguros nos modelos mais recentes). Sentimos profundamente por todos que perderam bitcoin.

A identidade do atacante permanece desconhecida, e o bitcoin roubado pode ser movido de suas endereços de consolidação a qualquer momento. Os investigadores ainda estão trabalhando para determinar quantas sementes vulneráveis foram realmente geradas, quanto bitcoin permanece exposto e se carteiras de alto valor adicionais já foram identificadas pelo atacante. No entanto, a Coinkite pode não ter muitas informações sobre proprietários de muito tempo atrás.

“Espada de dois gumes: a Coinkite apaga todos os registros de seus clientes após 120 dias para se proteger contra violações de dados,” relatou Jameson Lopp, co-fundador da Casa, no X. “O que significa que eles não conseguem entrar em contato com clientes que compraram Coldcards vulneráveis nos últimos 5 anos para alertá-los sobre essa vulnerabilidade.”

O incidente também testará se a Coinkite consegue restaurar a confiança no Coldcard e se os fabricantes de carteiras de hardware adotam avaliações independentes mais rigorosas da geração de seed. Para os usuários, a prioridade imediata é mais simples: qualquer pessoa que tenha gerado uma seed em firmware afetado sem entropia independente forte de dados, frase-passe ou proteção multisignature deve tratá-la como comprometida e transferir os fundos com cuidado para uma nova carteira gerada.

Além do roubo devastador, os bitcoiners de toda a comunidade estão emitindo alertas e incentivando outros a espalhar a palavra antes que mais carteiras vulneráveis sejam esvaziadas.