As perdas provocadas pelo roubo de Bitcoin em carteiras Coldcard já superaram US$ 115 milhões. A Galaxy Research calculou o valor com base na cotação das unidades no momento de cada retirada. Além disso, a empresa afirmou que conversou com mais de 200 vítimas.

O contato busca oferecer suporte aos usuários afetados e reunir informações sobre os responsáveis pelos ataques. A Galaxy Research ainda trabalha para determinar o valor total subtraído. Por isso, a estimativa pode aumentar conforme a investigação avançar.

Falha da Coldcard permitiu o roubo de Bitcoin

Os hackers começaram a retirar o Bitcoin armazenado em dispositivos Coldcard, fabricados pela Coinkite, em 31 de julho. Desde então, o prejuízo estimado cresceu gradualmente. Os invasores também passaram a atingir modelos mais recentes.

Diante disso, a Coinkite e integrantes da comunidade Bitcoin recomendaram a transferência imediata dos fundos. A orientação buscava impedir novas perdas em dispositivos potencialmente vulneráveis. Os usuários também receberam a recomendação de atualizar o firmware.

Bug afetou a geração de sementes nos dispositivos Mk3

A Coinkite atribuiu o problema a um bug no firmware dos dispositivos Coldcard Mk3. Conforme a empresa, a falha surgiu na versão 4.0.1, lançada em março de 2021. O defeito interferia no processo usado para gerar as sementes das carteiras.

Dessa forma, o sistema recorria a um gerador pseudoaleatório de software considerado fraco. O mecanismo deixava de utilizar o gerador de números verdadeiramente aleatórios do hardware. Como resultado, os invasores conseguiam prever as frases-semente e assumir o controle dos fundos.

Na semana anterior, a Galaxy Research estimou que pelo menos 15 atacantes exploravam a vulnerabilidade de forma independente. Portanto, a atividade criminosa não parecia restrita a um único grupo. A presença de vários invasores também ampliou o alcance do ataque.

Galaxy Research ainda calcula o prejuízo total

Uma pesquisa anterior da Galaxy Research indicou que o Bitcoin subtraído permanecera sem movimentação por uma média de 3,5 anos. Ao mesmo tempo, 88% dos fundos tinham pelo menos um ano de inatividade. Esses dados mostram que os invasores atingiram carteiras mantidas por longos períodos.

A empresa ainda verifica quanto os atacantes efetivamente retiraram. Ainda assim, a Galaxy Research afirmou que o prejuízo total pode ultrapassar US$ 130 milhões. O cálculo depende da identificação de novas vítimas e endereços relacionados ao caso.

Após o início dos ataques, investidores transferiram seus fundos para outras soluções de armazenamento. Entre as alternativas escolhidas estavam as exchanges. Contudo, a notícia não detalha quantos usuários adotaram essa medida.

Coinkite reconhece impacto crescente da vulnerabilidade

Em comunicado divulgado nesta semana, a Coinkite reconheceu que o bug permaneceu despercebido em seu software. A empresa também declarou que o impacto potencial aumentou a cada lançamento de seus produtos. A vulnerabilidade, porém, estava presente desde março de 2021.

Dias depois do primeiro ataque, a companhia pediu que os investidores atualizassem o software. Alternativamente, recomendou que retirassem os fundos das carteiras físicas afetadas. Nesse contexto, a Galaxy Research continua apurando as perdas relacionadas aos dispositivos Coldcard Mk3.