Robo em massa Bitcoin por falha de entropia em Coldcard expõe sementes BIP39

Em 30 de julho, um atacante vazou 1.196 endereços do Bitcoin em 41 minutos e foi levado 1.082,65 BTC — cerca de 70,2 milhões de dólares de acordo com o valor na época — depois de explorar uma fraqueza na geração de sementes de Coldcard, a carteira de hardware de uso exclusivo para Bitcoin projetado por Coinkite. A pesquisa pública que mapea a operação e rastreia a causa técnica aponta que não foi uma fuga por ataque físico direto, mas uma falha de integração de firmware aparecida em março de 2021 que, em certos builds, fez com que a geração da semente se apoiasse em um gerador de software em vez do gerador de números aleatórios do chip STM32.

Em termos concretos, a cadeia de erros inclui uma configuração de produção que desabilitava a macro de MicroPython para o RNG, a verificação na livreria libngu da mera existência dessa macro em vez de sua ativação efetiva, e a inicialização do pseudorandom com o identificador único do chip e registros de temporizador sem coletar entropia fresca. O resultado: sementes BIP-39 de 12 palavras com Entropias eficazes muito abaixo dos 128 bits esperados, estimadas por Coinkite em torno de 40 bits em alguns modelos Mk3 e cerca de 72 bits em outros modelos Mk4/Mk5/Q, o que reduz drasticamente o custo prático de gerar candidatos a sementes e verificar endereços na cadeia pública.

É importante salientar que a exposição depende exclusivamente da versão do firmware usada quando a semente foi criada, não da versão que o usuário instale depois. Coinkite publicou adesivos de emergência e os usuários devem instalar, mas instalar o adesivo não corrige uma semente já gerada com o firmware vulnerável. A recomendação oficial é gerar uma semente nova com firmware adesivo e transferir os fundos; restaurar a semente antiga no firmware corrigido ou em outra carteira reproduz a fraqueza.

Do ponto de vista do atacante, esta falha é perigosa porque permite uma abordagem offline e direcionada: se um adversário pode acotar ou conhecer dados como o UID do dispositivo, o estado do temporizador ao arrancar ou a história de chamadas ao RNG, pode reproduzir fluxos candidatos e derivar palavras para verificar se alguma coincide com endereços na cadeia pública. A investigação pública ainda não apresentou uma reconstrução confirmada da semente de alguma das direcções saqueadas e o padrão de «barrido» observado por alguns equipamentos (transações sem troca com tarifa de ≈30 sat/vB) serve para identificar o operador que move moedas, não para demonstrar a técnica de roubo per se.

Para qualquer possuidor de Coldcard a prioridade prática é simples e urgente: verificar se a semente foi criada em uma versão afetada e, em caso afirmativo, migrar. Coinkite colocou em alerta as séries e versões vulneráveis (por exemplo Mk3 em certos adesivos 4.0.0–4.1.9, fixadas em 4.2.0; Mk4/Mk5 antes de 5.6.0; Q antes de 1.5.0Q, e builds «edge» anteriores a índices concretos. Se você não pode verificar com certeza que a semente nasceu em firmware seguro, gera uma semente nova com o firmware atualizado e move os fundos para ela. Não restaures nem exportes a semente antiga para outro dispositivo e não des por segura uma semente simplesmente porque agora o dispositivo tem a última versão instalada.

Há nuances chave para usuários avançados: se a semente foi criada usando pelo menos 50 rodadas privadas e independentes de um dado de seis caras (a recomendação de Coinkite para trazer entropia física) ou através de uma fonte externa de alta qualidade, a semente pode não estar em risco por esta falha concreta; em caso de dúvida, migrar continua sendo a opção mais segura. Um passphrase BIP-39 forte adiciona uma camada que a única lista de palavras não consegue saltar, mas Coinkite continua recomendando substituir a semente mesmo quando se utiliza passphrase. Em setups multisig a exposição só existe se todos Os signatários compartilham sementes geradas vulnerávelmente; multisig com signatários heterogêneos continua sendo uma mitigação sólida.

As implicações operacionais para a indústria são amplas. Os custos, exchanges e gestores de fundos devem verificar procedimentos de geração de chaves em volume e auditar que as cadeias de ferramentas e as livrarias de terceiros usem corretamente o RNG do hardware. A cadeia de confiança em uma wallet hardware não é apenas o dispositivo físico, mas também a integração do firmware, as macros de compilação, e o tratamento de wrappers que abstraem o RNG. Auditorias de firmware, testes de entropia e uso de mecanismos independentes (por exemplo, geração de semente com dados físicos) deveriam ser parte do playbook para sistemas de alto valor.

Para usuários finais e administradores recomendo verificar a versão do dispositivo e a data de criação da semente, instalar o firmware de emergência fornecido pelo fabricante, gerar uma semente nova nesse firmware e transferir todos os fundos, verificar não restaurar a semente antiga em nenhum ambiente, usar passphrases fortes como defesa adicional e, onde possível, colocar assinaturas múltiplas com fornecedores distintos para minimizar risco de falha comum. Também é boa prática monitorizar endereços próprios e listas de transacções com padrões invulgares (como as transacções sem alteração) e notificar os fornecedores se forem detectadas atividades suspeitas.

Este incidente lembra que a segurança cripto depende tanto da robustez criptográfica como da engenharia do software. Os usuários de hardware wallets devem considerar não apenas a reputação do fabricante, mas os detalhes de implementação do RNG e as práticas de construção do firmware. Para ler documentação técnica sobre o padrão de sementes BIP-39 e entender por que a entropia importa, você pode consultar a especificação oficial no GitHub: BIP‐39 (especificação). Para informações e avisos do fabricante, visite a Web Coinkite/Coldcard: Coinkite / Coldcard. Se você administra fundos significativos, contacte o suporte do fabricante e considera assessoria profissional para migrações seguras.