Oito anos de Bitcoin perdidos em quinze minutos. Erro do fabricante custou 1367 BTC

Um usuário do subreddit r/Bitcoin na plataforma de mídia social Reddit, conhecido pelo pseudônimo DuckDuckMoss, compartilhou sua história com a comunidade. Ele relata que, devido a um erro no software de sua carteira de hardware, perdeu seus 2 BTC que havia acumulado ao longo de oito anos. Sua postagem é uma das centenas de relatos semelhantes que surgiram na internet após 30 de julho, quando um autor desconhecido começou a esvaziar carteiras criadas em dispositivos Coldcard. De acordo com cálculos da Galaxy Research, 1367 BTC, ou cerca de 88,6 milhões de dólares, desapareceram das contas das vítimas até agora.

Fatos principais

• A causa é um erro de integração no software do Coldcard, que desde março de 2021 direcionava a geração de frases seed para um gerador de números pseudoaleatórios programático e previsível.
• Em vez dos 128 bits de entropia esperados, as seeds do modelo Mk3 tinham cerca de 40 bits, e do Mk4, Mk5 e Q cerca de 72 bits.
• Três ondas de ataque afetaram 4585 endereços. O total é de 1367 BTC e ainda não foi tocado.
• A Coinkite lançou um software de emergência para todos os modelos, mas a atualização não corrige a seed gerada anteriormente.
• O debate sobre se o investidor individual deve ou não cuidar de suas chaves privadas ressurgiu.

Uma linha de código de março de 2021 como fonte da crise

Coldcard é uma carteira de hardware da empresa canadense Coinkite, que suporta exclusivamente Bitcoin e é considerada há anos como o equipamento para os mais exigentes. Seu software opera em um MicroPython modificado. Na configuração da placa, o fabricante desativou intencionalmente o suporte embutido para um gerador de hardware, pois tinha sua própria implementação. O problema é que a biblioteca libngu apenas verificava se a flag apropriada existia, e não qual era seu valor. A compilação passava sem aviso, e a função que buscava aleatoriedade caía na rota de backup programática herdada do MicroPython.

Esse gerador de backup é inicializado uma vez, na primeira chamada, com base no número de série do chip e no estado dos relógios. Nenhum desses valores é um segredo criptográfico. O número de série é fixo e parcialmente visível até mesmo no identificador USB do dispositivo, e os registros de tempo podem ser limitados a um pequeno número de possibilidades. Uma reconstrução detalhada foi publicada pela equipe de segurança da Block em um relatório técnico sobre o gerador de emergência no firmware do Coldcard.

A mudança entrou no repositório em 1º de março de 2021, e o software lançado chegou em 17 de março com a versão 4.0.0. Todos os endereços esvaziados foram criados após essa data. O atacante não precisou tocar em nenhum dispositivo. Bastou reproduzir em seu próprio sistema os possíveis fluxos aleatórios, derivar deles os endereços e compará-los com a blockchain pública.

Três ondas e 4585 endereços

A primeira varredura das carteiras ocorreu das 3:10 às 3:51, horário polonês, em 30 de julho, e se espalhou por nove blocos. A Chainalysis calculou que, nos primeiros dez minutos, mais de 30 milhões de dólares desapareceram, e a maior única vítima perdeu cerca de 1,8 milhão de dólares. As estimativas iniciais falavam de 594 BTC de quase 500 carteiras. Análises subsequentes da Galaxy Research elevaram esse número para 1082, depois para 1158, até que em 1º de agosto foi detectada a terceira onda, na qual de 1912 endereços foram retirados mais 207,73 BTC. Desta vez, o autor se apoderou de saldos na faixa de alguns milhares de dólares, ou seja, se contentou com "miudezas".

Os fundos roubados permanecem intocados nos endereços do atacante. Analistas observam que todas as transações tinham a mesma taxa de comissão e não geravam troco, o que permite agrupá-las, mas isso por si só não prova nada. Uma transferência em massa parece idêntica, independentemente de quem esteja movendo as moedas, seja o ladrão ou o proprietário.

A empresa Coinkite publicou um aviso relevante em 30 de julho e, no dia seguinte, lançou um software corrigido para todos os modelos e ambos os caminhos de publicação. No comunicado oficial de segurança, o fabricante ressalta que a atualização protege apenas novas seeds e não corrige aquelas que já foram criadas. Estão seguros aqueles que, ao criar a carteira, adicionaram pelo menos 50 lançamentos de dados honestos e não registrados. Uma senha BIP-39 forte e única cria uma carteira separada e dificulta a situação, mas o fabricante ainda recomenda a migração. O multisig protege apenas quando o quórum não consiste exclusivamente de dispositivos vulneráveis. Os cartões TAPSIGNER, OPENDIME e SATSCARD funcionam com um código diferente e não são afetados pelo problema.

O investidor médio deve cuidar de sua própria chave?

Rodolfo Novak, chefe da Coinkite, pediu desculpas aos usuários e assumiu a responsabilidade pelo erro, reconhecendo que as revisões internas do código não o detectaram. Ele sugeriu que a falha poderia ter sido encontrada por uma inteligência artificial que passou por versões mais antigas do firmware aberto. Algumas semanas antes, a empresa havia passado o mesmo código por um dos melhores modelos disponíveis e não recebeu nenhum sinal de alerta. No entanto, alguns pesquisadores acreditam que a menção à IA desvia a atenção de um erro de engenharia banal que uma auditoria comum de geração de chaves deveria ter detectado anos atrás.

As reações da indústria são severas. O comentarista Guy Swann chamou isso de o golpe mais doloroso na história do Bitcoin, atingindo pessoas que se protegeram corretamente, pois desta vez não se trata de uma exchange com chaves quentes, mas de milhares de carteiras privadas. Lorenzo Valente, da ARK Invest, afirmou diretamente que os clientes trocaram o risco do contraparte pelo risco de software, hardware, cadeia de suprimentos e erro próprio. Nick Neuman, da Casa, critica a própria recomendação do fabricante, pois adicionar cinquenta lançamentos de dados é inviável para a grande maioria dos usuários. David Lawrence, da Amicus, acrescenta que, após tais incidentes, novos investidores optarão por ETFs e custodiante regulamentados.

Exatamente essa conclusão foi tirada pelo autor de um post no Reddit, que lamenta não ter comprado cotas de um fundo de investimento quando foram lançadas. Seu caso individual não foi verificado publicamente, pois ele não forneceu nem o modelo do dispositivo nem a versão do software. A Galaxy Research alerta, por outro lado, que a lista de afetados pode ainda aumentar. A vulnerabilidade já é pública, e alguns proprietários de seeds vulneráveis ainda não transferiram seus fundos.