Uma falha que ficou escondida por mais de cinco anos abalou a confiança na Coldcard, uma das carteiras físicas de bitcoin (BTC) mais conhecidas entre usuários de autocustódia (quando você mesmo guarda suas chaves, sem depender de corretora). O problema atingiu justamente a criação das frases-semente, que funcionam como a senha principal da carteira.
O que aconteceu: investigações de pesquisadores da Block, divulgadas pela fabricante Coinkite, apontam que uma mudança feita em março de 2021 levou certos modelos da Coldcard a usar um PRNG (gerador pseudoaleatório) previsível no lugar do TRNG (gerador de números realmente aleatórios) do hardware. Na prática, isso reduziu a entropia, ou seja, a quantidade de aleatoriedade usada para criar as chaves privadas.
Em números: a Galaxy Research estima que a falha já tenha sido explorada em várias ondas coordenadas de ataque, com roubo de cerca de 1.367 BTC, avaliados em aproximadamente US$ 88 milhões (aprox. R$ 484 milhões), espalhados por mais de 4.500 endereços. Pesquisadores também encontraram padrões automatizados nas transações, sinal de que os invasores já tinham as chaves necessárias no momento em que moveram os recursos.
No Brasil: um levantamento da Chainalysis colocou Canadá e Brasil entre os países mais vulneráveis a essa fragilidade. A empresa afirmou que os detentores de BTC no Canadá concentram 25% das perdas atribuíveis, e citou ainda Austrália, Estados Unidos e Tailândia entre os países com perdas relevantes.
Para quem guarda cripto por conta própria no Brasil, o caso mostra que até carteiras offline podem falhar se houver problema na geração das chaves.
A gravidade do episódio está no tipo de ataque. Não se trata de phishing (golpe para roubar dados), invasão de exchange ou malware no computador da vítima. Segundo as investigações, os criminosos exploraram uma fraqueza estrutural no processo de criação das chaves e, com isso, conseguiram reconstruir seeds (frases-semente) potencialmente comprometidas e assumir o controle dos bitcoins guardados nelas.
