Pesquisadores suspeitam que uma vulnerabilidade no firmware da carteira de hardware COLDCARD tenha sido explorada para roubar cerca de US$ 88,6 milhões em Bitcoin de milhares de carteiras cujas seeds foram geradas com um gerador de números aleatórios com falha.
A Galaxy Research afirma ter identificado uma primeira onda de transações que, segundo ela, provavelmente estava ligada à vulnerabilidade, esvaziando cerca de 1.083 BTC, equivalentes a US$ 70,2 milhões, de 1.196 endereços em 30 de julho. O ataque durou 41 minutos e ocorreu cerca de 30 horas antes de a Coinkite divulgar publicamente a falha.
Todas as transações usaram uma taxa fixa e hardcoded de 30 satoshis por byte virtual e não deixaram troco, o que levou a Galaxy a acreditar que os atacantes usaram uma ferramenta automatizada. “A assinatura é clara: cada varredura pagou uma taxa hardcoded idêntica de 30,0 sat/vB, um excesso de 30 a 75 vezes em relação à mediana de 0,4 a 1,0 sat/vB daquela semana, e não deixou saída de troco”, explicou a empresa. “Isso parece uma ferramenta automatizada gastando chaves que já tinha em mãos, e não os donos movimentando os fundos.”
Em 1º de agosto, a Galaxy Research identificou uma segunda e uma terceira onda de ataques, elevando o total estimado para 1.367 Bitcoin, avaliados em aproximadamente US$ 88,6 milhões, roubados de 4.585 endereços. O Bitcoin roubado permanecia, à época do relatório, em endereços sob controle do atacante.
A Chainalysis concluiu que o atacante priorizou carteiras de alto valor, roubando cerca de US$ 30 milhões nos primeiros 10 minutos e levando US$ 1,8 milhão de uma única vítima. Segundo a empresa, isso sugere que o atacante identificou e estudou as carteiras afetadas antes de iniciar os roubos.
As equipes de Engenharia e Segurança de Bitcoin da Block afirmam que, ao ver relatos de Bitcoin sendo roubado de carteiras COLDCARD, trabalharam com outros pesquisadores para analisar o firmware do dispositivo e identificar a vulnerabilidade. A Block diz que os pesquisadores rastrearam o problema até um erro de integração no código de geração de números aleatórios (RNG) da COLDCARD e repassaram suas conclusões à Coinkite em 30 de julho.
“O firmware da COLDCARD contém um erro de integração de RNG que faz com que `ngu.random` use o fallback determinístico Yasmarang do MicroPython em vez do RNG de hardware do STM32”, explica o relatório da Block. A COLDCARD inclui um gerador de números aleatórios de hardware separado, mas uma verificação incorreta no firmware fez com que ele recorresse a um gerador de software determinístico.
O mecanismo de fallback dependia do identificador do microcontrolador do dispositivo e de valores de tempo do sistema, que a Block afirma não serem fontes criptograficamente seguras de aleatoriedade e podem ser observáveis ou reconstruíveis. Isso permitiu que os atacantes gerassem offline possíveis seeds de carteiras, determinassem seus endereços Bitcoin e os comparassem com endereços visíveis na blockchain. Uma correspondência confirmaria a seed correta, permitindo ao atacante gerar as chaves privadas necessárias para roubar os fundos.
A Block rastreou a falha até a configuração de produção da COLDCARD, que define `MICROPY_HW_ENABLE_RNG` como zero porque a Coinkite fornece seu próprio encapsulamento de RNG de hardware. A biblioteca `libngu` verificava se a macro existia, e não se ela estava habilitada, o que vinculava a compilação ao fallback Yasmarang do MicroPython. Esse fallback era inicializado com o ID único do chip e os registradores do timer e não coletava nova entropia após a inicialização.
A Coinkite liberou em 31 de julho um firmware de emergência para todos os modelos e canais de distribuição afetados, mas a instalação não corrige uma seed já criada. A empresa orienta os proprietários cujas seeds foram expostas a gerar uma nova seed em firmware corrigido e transferir seus bitcoins. Restaurar a seed antiga em um firmware atualizado ou em outra carteira mantém a fraqueza.
A exposição depende do firmware em execução quando a seed foi criada, e não da versão instalada hoje. A Coinkite afirma que as seeds afetadas incluem aquelas geradas nas versões de firmware Mk2 e Mk3 de 4.0.1 até 4.1.9, nos dispositivos Mk4 e Mk5 anteriores à versão padrão 5.6.0 ou à versão Edge 6.6.0X, e nos dispositivos Q anteriores à versão padrão 1.5.0Q ou à versão Edge 6.6.0QX. A Block, por sua vez, coloca tanto o Mk2 quanto o Mk3 nas versões 4.0.0 a 4.1.9 no caminho vulnerável.
O novo firmware que corrige a falha está disponível como versão 4.2.0 ou superior para Mk2 e Mk3, 5.6.0 ou superior para dispositivos padrão Mk4 e Mk5, 1.5.0Q ou superior para dispositivos padrão Q, e versão 6.6.0X ou 6.6.0QX para as respectivas versões Edge.
Até agora, nenhum relatório público reconstruiu a seed de uma vítima e a vinculou a um endereço esvaziado. A Coinkite estima a entropia efetiva em cerca de 40 bits no Mk3 e em aproximadamente 72 bits no Mk4, Mk5 e Q, contra 128 bits de uma seed BIP-39 de 12 palavras.
A Block não apresenta uma medida prática única. Em vez disso, estabelece limites condicionais abaixo de 240,7 e 273,3 e alerta que este último número não equivale a uma segurança criptográfica de 73 bits. A empresa não publicou um benchmark de brute force.
A re-seed nos modelos mais recentes aumenta o número de candidatos, mas a Block afirma que o custo prático depende das informações disponíveis sobre o UID, do tempo de inicialização, de chamadas anteriores ao RNG e do custo de derivação. A Coinkite afirma que uma seed criada com pelo menos 50 lançamentos de dados justos, independentes e privados não fica em risco apenas por causa desse bug.
Se o número de lançamentos ou a privacidade deles for incerta, a empresa recomenda a migração. Uma passphrase BIP-39 forte e exclusiva cria uma carteira separada, à qual as palavras da seed não dão acesso sozinhas, mas a companhia ainda assim recomenda substituir a seed. O uso de multisig ajuda apenas quando o quorum não é formado inteiramente por dispositivos afetados.
TAPSIGNER, OPENDIME e SATSCARD usam bases de código diferentes e não foram afetados. A Coinkite também afirma ter destruído todos os dispositivos COLDCARD que aguardavam envio com o firmware afetado, e diz que clientes cujos dispositivos já haviam sido enviados foram contatados por e-mail com o comunicado de segurança e instruções para migrar seus fundos.
Ninguém identificou o invasor. A Galaxy, que mapeou a varredura de 1.196 endereços, disse ter encontrado, nos 30 dias anteriores, nenhuma outra transação de Bitcoin com o mesmo padrão de 30 sat/vB e ausência de troco. A empresa alertou que o padrão identifica o operador, e não o roubo, porque uma varredura “parece exatamente como se o dono de uma moeda tivesse decidido movimentar seus bitcoins”.
A divulgação ocorre após a pesquisa Ill Bloom, da Coinspect, no início de julho, que revelou uma falha separada de PRNG fraco em carteiras de software mais antigas, associada a mais de US$ 5 milhões esvaziados de endereços em Bitcoin, Ethereum, Tron, Rootstock e Polygon desde maio.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...