LastPass e Coldcard: Lições sobre Entropia, Vulnerabilidade e o Paradoxo da Segurança A violação de dados da LastPass em 2022 e a vulnerabilidade no firmware da Coldcard em julho de 2026 estão entre os fracassos de segurança mais significativos em criptomoedas nos últimos anos. À primeira vista, parecem não ter nada em comum. Um surgiu na nuvem, o outro dentro de uma carteira de hardware off-line. Um se desenrolou ao longo de anos, o outro pareceu culminar em menos de uma hora. Um afetou múltiplas criptomoedas, enquanto o outro visou principalmente o bitcoin. No entanto, por trás dessas diferenças existe uma semelhança notável. Ambos os incidentes demonstram um profundo paradoxo de segurança: os usuários que mais cuidadosamente seguiram as melhores práticas de segurança tornaram-se as principais vítimas. Em cada caso, pessoas que deliberadamente rejeitaram conveniência em favor de uma autogestão mais segura descobriram que o elo mais fraco não era seu próprio comportamento, mas a tecnologia em que confiavam. O PARADOXO DA SEGURANÇA Ambos os grupos compartilhavam características notavelmente semelhantes. Eles não eram investidores leigos buscando ganhos especulativos nem vítimas de campanhas de phishing. Eram usuários conscientes da segurança que assumiram intencionalmente a responsabilidade de proteger seus próprios ativos, em vez de depender de exchanges centralizadas. Usuários da LastPass escolheram cofres de senhas criptografados para proteger informações altamente sensíveis, incluindo frases semente e chaves privadas de criptomoedas. Seu raciocínio era compreensível: um cofre criptografado protegido por uma senha mestre forte parecia mais seguro do que cópias em papel espalhadas ou arquivos não criptografados, além de proteger contra falhas de dispositivo ou perda física. Usuários da Coldcard fizeram uma escolha igualmente deliberada. Compraram uma das carteiras de hardware mais respeitadas da indústria, exclusiva para bitcoin, porque foi projetada para permanecer completamente isolada da internet. As chaves privadas nunca tocavam um computador conectado à internet, e as transações podiam ser assinadas inteiramente off-line. Ambos os grupos investiram tempo, dinheiro e esforço para melhorar sua segurança. Ambos acabaram perdendo fundos devido a falhas que ocorreram fora de seu controle direto. O PARADOXO DA AUTOGESTÃO DILIGENTE As camadas de segurança que os usuários adotaram intencionalmente tornaram-se as superfícies de ataque que os adversários exploraram. Dois Problemas de Busca Diferentes Embora ambos os incidentes resultassem em criptomoedas roubadas, os atacantes enfrentaram desafios computacionais fundamentalmente diferentes. Na violação da LastPass, os atacantes obtiveram cópias de segurança criptografadas dos cofres dos clientes. Cada cofre tornou-se seu próprio enigma criptográfico. Os atacantes primeiro tinham que decifrar a senha mestre de um usuário individual, depois determinar se o cofre continha frases semente ou chaves privadas de criptomoedas e, finalmente, verificar se essas carteiras ainda tinham ativos. Cada cofre representava um desafio computacional separado, produzindo uma campanha naturalmente prolongada na qual novas vítimas continuavam a surgir à medida que mais cofres eram decifrados. À medida que o hardware GPU melhorava e as técnicas de quebra de senha evoluíam, ataques anteriormente impraticáveis tornavam-se cada vez mais viáveis. O incidente da Coldcard apresentou um problema de busca diferente. Em vez de atacar senhas escolhidas independentemente, os atacantes supostamente exploraram um defeito no firmware que reduziu a aleatoriedade usada durante a geração da frase semente em certos dispositivos. Se a entropia efetiva fosse suficientemente reduzida, o universo de possíveis frases semente tornava-se dramaticamente menor do que o pretendido. Em vez de resolver milhares de enigmas criptográficos não relacionados, os atacantes podiam enumerar sistematicamente o espaço de chaves reduzido off-line, derivar os endereços bitcoin correspondentes e identificar quais endereços continham fundos. Essa distinção ajuda a explicar por que os roubos iniciais da Coldcard pareciam tão concentrados. A LastPass exigia que os atacantes decifrassem os cofres individualmente, produzindo naturalmente um fluxo lento de vítimas ao longo de meses e anos...