Criminosos conseguiram subtrair aproximadamente US$ 130 milhões em criptomoedas de detentores da carteira física Coldcard, fabricada pela Coinkite. Este roubo ocorreu após os hackers explorarem uma falha no mecanismo de geração das frases de recuperação dos dispositivos.
O incidente foi detectado por diversas empresas especializadas em segurança de blockchain que monitoram as transações. O ataque, que veio à tona na terça-feira (04), afetou pessoas que utilizavam carteiras consideradas extremamente seguras para guardar Bitcoin, visto que estas permanecem isoladas da conexão com a internet.
Investigadores indicam que os invasores foram capazes de recriar as chaves privadas sem a necessidade de acessar fisicamente os aparelhos. A análise aponta que múltiplos grupos podem estar envolvidos nessas invasões, aproveitando uma vulnerabilidade existente no código utilizado para criar as chaves de recuperação. Essa descoberta permitiu aos invasores calcular combinações possíveis e, consequentemente, transferir os ativos guardados nas carteiras comprometidas.
A Coldcard funciona como uma carteira de hardware projetada para manter a chave secreta do usuário distante da rede. Neste modelo, embora os Bitcoins permaneçam registrados na blockchain, o acesso aos fundos depende de uma chave de recuperação armazenada no próprio aparelho. Este sistema é classificado como carteira “fria”, em oposição às carteiras “quentes”, que estão conectadas à rede via aplicativos, extensões de navegador ou plataformas de negociação de criptomoedas.
Segundo a Galaxy Research, estima-se que pelo menos 12 invasores distintos estejam visando usuários desses equipamentos. A empresa reportou que o dano total acumulado chegou a cerca de US$ 130 milhões, um valor que Tom Robinson, cofundador e cientista-chefe da Elliptic, considera próximo da realidade.
Este evento é notável porque a principal garantia de uma carteira física é justamente fornecer uma camada extra de proteção. Usuários que mantinham suas chaves offline e seguiam protocolos rigorosos de segurança foram vitimados porque o problema residia na fase inicial de criação dessas chaves.
Pesquisadores da Block identificaram que a falha estava ligada ao método empregado para gerar essas chaves em certas versões do equipamento. Assim, os criminosos não precisaram invadir os dispositivos nem obter informações protegidas; eles simplesmente replicaram o processo de criação das chaves.
Jonathan Goodman, um usuário que relatou a perda de US$ 1,6 milhão, descreveu a situação como inaceitável, dado que todas as recomendações de segurança haviam sido seguidas. Em uma postagem na rede social X, ele esclareceu que jamais compartilhou sua chave e manteve os dispositivos desconectados da internet. Segundo Goodman, as salvaguardas implementadas não evitaram o prejuízo porque a origem do problema estava no código responsável pela geração das chaves de recuperação.
A Coinkite, fabricante da Coldcard, emitiu um aviso sobre a questão e aconselhou os clientes a atualizar seus dispositivos. A empresa também sugeriu que os usuários afetados movessem seus fundos para uma nova chave.
