Falha em dispositivo permitiu roubo de mais de US$ 110 milhões em Bitcoin, enquanto vazamentos recentes da SafePal e da Trezor expuseram dados de mais de 53 mil clientes

Consideradas uma das formas mais seguras de proteger Bitcoin e outros ativos digitais, as carteiras offline entraram no radar de uma nova onda de ataques. Em menos de um mês, três incidentes envolvendo fabricantes de dispositivos físicos resultaram no roubo de mais de US$ 110 milhões em Bitcoin e na exposição de informações pessoais de mais de 53 mil usuários.

Os episódios mostram que os criminosos estão ampliando a atuação para além das corretoras e plataformas conectadas à internet. O novo alvo inclui os softwares utilizados para gerar chaves de acesso, os fabricantes dos dispositivos, os fornecedores responsáveis pela entrega dos equipamentos e os dados pessoais de quem utiliza esse tipo de solução.

Para a DSec Labs, empresa brasileira especializada em infraestrutura blockchain e segurança de ativos digitais, os casos indicam que a autocustódia precisa ser compreendida como um processo completo. Manter uma carteira desconectada da internet reduz determinados riscos, mas não elimina falhas na geração das chaves, vulnerabilidades do software, vazamentos de dados ou ataques direcionados ao proprietário.

“Durante muito tempo, o mercado concentrou a discussão na diferença entre deixar os ativos em uma corretora ou armazená-los em uma carteira offline. Os ataques recentes mostram que a análise precisa ser mais ampla. A segurança envolve a geração da chave, o dispositivo, o software, o backup, os fornecedores e até as informações pessoais associadas à compra do equipamento”, afirma Guilherme Campos, cofundador e COO da DSec Labs.

Três ataques mostram diferentes pontos de vulnerabilidade

O primeiro caso envolveu a Coldcard, carteira física produzida pela empresa canadense Coinkite. Uma falha no software utilizado por determinados modelos reduziu a aleatoriedade do processo de geração das frases-semente, conjunto de palavras que permite recuperar e controlar uma carteira.

A vulnerabilidade tornou determinadas chaves mais previsíveis e permitiu que criminosos testassem possíveis combinações até encontrarem os endereços corretos. O ataque resultou no roubo de mais de US$ 110 milhões em Bitcoin, mesmo sem a necessidade de acesso físico aos dispositivos.

A fabricante disponibilizou atualizações para os modelos afetados, mas alertou que a instalação de um novo software não corrige uma frase-semente criada anteriormente em condições vulneráveis. Nesses casos, os usuários precisam gerar uma nova chave e transferir os ativos.

Dias depois, a Trezor informou que uma invasão a um de seus fornecedores de logística expôs informações de aproximadamente 13,7 mil clientes. Entre os dados comprometidos estavam nomes, endereços de e-mail, números de telefone e, em parte dos casos, endereços utilizados para a entrega dos dispositivos.

As carteiras, as chaves privadas e os recursos dos usuários não foram comprometidos. Entretanto, a associação entre a identidade, o endereço residencial e a compra de uma carteira física pode aumentar a exposição a tentativas de phishing, falsos contatos de suporte, extorsões e ataques presenciais.

O terceiro episódio envolveu a SafePal, que identificou uma falha de autorização em um sistema de acompanhamento de pedidos. A vulnerabilidade permitiu o acesso indevido às informações de aproximadamente 39,8 mil clientes, incluindo nomes, telefones, endereços de e-mail, locais de entrega e detalhes das compras.

Segundo a empresa, senhas, chaves privadas, frases-semente e fundos não foram atingidos. Ainda assim, os dados expostos podem ser utilizados na construção de golpes personalizados, nos quais os criminosos se apresentam como fabricantes ou equipes de suporte para induzir as vítimas a revelar suas informações de recuperação.

“Os três casos são diferentes, mas estão conectados pela mesma lógica. Em um deles, houve comprometimento técnico da geração das chaves. Nos outros, os criminosos atingiram sistemas e fornecedores que fazem parte da cadeia das carteiras. Isso mostra que a superfície de ataque não termina no dispositivo”, explica Campos.

Dados pessoais passam a representar risco financeiro

Vazamentos como os registrados pela SafePal e pela Trezor não dão aos criminosos acesso imediato aos ativos. O principal risco está no uso dessas informações para localizar e abordar pessoas que comprovadamente possuem carteiras físicas.

Ao conhecer o nome, o telefone, o endereço e o modelo adquirido pelo usuário, os criminosos conseguem criar mensagens mais convincentes. Um contato pode simular uma atualização obrigatória, um recolhimento do equipamento, uma correção de vulnerabilidade ou uma verificação de segurança.

Nesses golpes, a vítima é direcionada a uma página falsa ou orientada a informar sua frase-semente. A partir do momento em que as palavras de recuperação são compartilhadas, os criminosos podem acessar a carteira e transferir os recursos.

A exposição do endereço residencial também amplia o risco de ameaças físicas. Como as transações com Bitcoin normalmente não podem ser canceladas ou revertidas por uma instituição intermediária, usuários com grandes volumes podem se tornar alvos de extorsões, roubos e invasões.

“A chave privada não precisa aparecer diretamente em um vazamento para que exista um risco relevante. Quando os dados permitem identificar quem possui uma carteira e onde essa pessoa mora, os criminosos ganham informações suficientes para construir ataques digitais ou físicos muito mais direcionados”, afirma Toni Farias, CPTO da DSec Labs.

Inteligência artificial torna golpes mais convincentes

O avanço da inteligência artificial também tende a aumentar a escala e a qualidade desses ataques. A tecnologia pode ser utilizada para analisar grandes bases de dados vazados, cruzar informações pessoais, produzir mensagens personalizadas e automatizar contatos com milhares de possíveis vítimas.

Ferramentas generativas também permitem imitar a linguagem de empresas, criar páginas semelhantes às oficiais e produzir áudios, imagens ou vídeos falsos. Quando o criminoso já conhece o modelo da carteira adquirida e os dados de contato do usuário, a abordagem ganha aparência de legitimidade.

No caso de falhas técnicas, a automação pode acelerar testes e ajudar a identificar padrões em sistemas vulneráveis. Isso não significa que a inteligência artificial consiga quebrar a criptografia do Bitcoin. O risco surge quando uma implementação reduz a imprevisibilidade das chaves ou apresenta outra fragilidade que possa ser explorada em escala.

“A inteligência artificial não quebra uma chave corretamente gerada. Ela potencializa vulnerabilidades que já existem e torna os ataques mais rápidos, personalizados e difíceis de identificar. Por isso, falhas que antes poderiam atingir poucos usuários passam a representar um risco em escala”, explica Farias.

DSec Labs aposta em solução 100% offline

Diante do aumento das ameaças à autocustódia, a DSec Labs desenvolveu a ColdKit, solução voltada à proteção e ao armazenamento offline das informações necessárias para controlar uma carteira de Bitcoin.

A proposta é reduzir o contato das informações sensíveis com celulares, computadores, aplicativos, serviços de nuvem e outras plataformas conectadas à internet. O produto foi desenvolvido para usuários que desejam manter o controle direto sobre os próprios ativos e organizar a autocustódia em um ambiente 100% offline.

A empresa ressalta, entretanto, que nenhuma solução deve ser apresentada como completamente invulnerável. A segurança também depende da geração adequada das chaves, da proteção física do backup e do comportamento do usuário.

“A proposta da ColdKit é reduzir a superfície digital de exposição. Quanto menos vezes uma informação sensível passa por aparelhos conectados, menor tende a ser o número de pontos que podem ser explorados. Mas nenhum produto substitui procedimentos corretos, proteção física e conhecimento sobre o funcionamento da autocustódia”, afirma Farias.

A solução integra o ecossistema da DSec Labs voltado à infraestrutura blockchain, pagamentos e segurança de ativos digitais.

Autocustódia exige novos protocolos de segurança

Para a companhia, os ataques recentes não significam que as carteiras offline deixaram de ser uma alternativa de proteção. Eles mostram, porém, que a segurança não pode depender exclusivamente de um dispositivo.

Os usuários precisam avaliar como as chaves são geradas, conferir a procedência do equipamento, acompanhar as comunicações oficiais dos fabricantes e evitar o armazenamento digital das palavras de recuperação.

A DSec Labs recomenda que proprietários de carteiras físicas:

• acompanhem comunicados e atualizações divulgados pelos fabricantes;
• nunca compartilhem a frase-semente com equipes de suporte;
• desconfiem de contatos sobre atualizações ou falhas de segurança;
• não armazenem as palavras de recuperação em fotografias, e-mails ou serviços de nuvem;
• verifiquem endereços antes de realizar transferências;
• mantenham o backup protegido contra acesso indevido e danos físicos;
• utilizem inicialmente uma transação de teste ao transferir recursos;
• avaliem mecanismos adicionais para valores elevados, como múltiplas assinaturas e divisão de responsabilidades.

No caso de usuários atingidos por vulnerabilidades na geração das chaves, apenas atualizar o software pode não ser suficiente. Pode ser necessário criar uma frase-semente completamente nova e transferir os ativos para endereços que não estejam associados à chave comprometida.

“Os ataques devem continuar migrando para os pontos menos protegidos da cadeia. À medida que fabricantes reforçam os dispositivos, os criminosos procuram fornecedores, dados pessoais e o próprio comportamento do usuário. A próxima etapa da segurança será proteger não apenas a carteira, mas todo o ecossistema ao redor dela”, conclui Leonardo Maximiliano, cofundador e CEO da DSec Labs.

Sobre a DSec Labs

A DSec Labs é uma empresa brasileira especializada no desenvolvimento de infraestrutura blockchain, soluções de pagamentos e segurança para ativos digitais. A companhia desenvolve produtos e projetos que conectam ambientes tradicionais e redes blockchain, incluindo contas digitais, plataformas white label, soluções de autocustódia, tokenização e automação. Com uma equipe de 30 profissionais, atende empresas no Brasil, na Europa e na América Latina.

*Comunicado de imprensa