O roubo de mais de US$ 70 milhões em Bitcoin ligado a uma falha nos dispositivos Coldcard ganhou um novo desdobramento. Segundo relatos publicados na sexta-feira, o responsável pelas movimentações teria usado uma conta paga de um conhecido provedor de serviços de blockchain para consultar endereços de origem e executar outras atividades durante o esvaziamento das carteiras.

Movimentação do Bitcoin revelou padrão incomum

Em publicação no X, o engenheiro da Block, Clay Garrett, afirmou que o provedor foi contatado depois que a investigação identificou movimentações na blockchain compatíveis com o fluxo de trabalho suspeito do invasor. Ele disse que não revelou o nome da empresa a pedido do próprio prestador de serviços.

“Durante nossa investigação sobre o esvaziamento da Coldcard ontem, identificamos um padrão incomum nas varreduras.”

Clay Garrett, no X

“Esse padrão nos levou a uma hipótese que desde então foi confirmada: o operador usou uma conta paga em um provedor conhecido de serviços de blockchain para consultar os endereços de origem e realizar outras atividades relacionadas durante as varreduras.”

Clay Garrett, no X

Garrett acrescentou que as autoridades já foram notificadas. Além disso, a área de pesquisa da Galaxy Digital também escreveu no X que o ladrão adotou um padrão incomum para mover as moedas.

“O padrão nos diz que se tratava do mesmo invasor em todos os casos. Ele não captura o ataque em si, que se parece com uma movimentação feita voluntariamente pelo dono das moedas.”

Galaxy Digital, no X

A empresa acrescentou que usuários de Bitcoin deveriam retirar fundos de endereços Coldcard de assinatura única e levá-los para uma custódia segura.

Falha de firmware afetou a geração das seeds

Na quinta-feira, depois que mais de US$ 35 milhões em Bitcoin foram drenados de carteiras, a Coinkite informou que um bug de firmware nos dispositivos Coldcard Mk3, a partir da versão 4.0.1 lançada em março de 2021, fez a geração da seed recorrer a um gerador de números pseudoaleatórios por software fraco, em vez do gerador de números aleatórios verdadeiro em hardware.

Como resultado, as chaves privadas de muitas carteiras de assinatura única, especialmente as criadas sem lançamentos de dados ou sem uma passphrase BIP-39 forte, ficaram previsíveis o suficiente para que invasores tentassem quebrá-las por força bruta.

Posteriormente, ainda na sexta-feira, a Coinkite admitiu que todos os seus modelos eram vulneráveis após novos furtos. Até agora, mais de US$ 70 milhões já foram levados, e engenheiros alertaram que mais endereços de Bitcoin podem estar em risco.

Coinkite ampliou alerta após novos furtos

A Coinkite fabrica diversos produtos voltados ao Bitcoin, incluindo carteiras de hardware para armazenamento a frio. Diante do avanço das perdas e do padrão identificado nas transferências, o caso passou a combinar uma falha técnica grave com o uso de infraestrutura profissional de serviços de blockchain durante a movimentação dos valores roubados.

Por isso, o episódio elevou a pressão sobre usuários de carteiras de assinatura única afetadas pela falha. Ao mesmo tempo, reforçou o alerta para a importância de seeds com entropia adicional e passphrases fortes em dispositivos de autocustódia.