Uma falha no firmware das carteiras Coldcard Mk3 permitiu o roubo confirmado de US$ 111 milhões em Bitcoin. Dados das vítimas indicam que os investidores mantinham grande parte dos valores sem movimentação havia anos.

Os relatos também mostram perdas expressivas por investidor. A mediana superou uma unidade de Bitcoin, enquanto uma vítima perdeu quase 59 unidades.

Fundos permaneciam sem movimentação havia anos

Alex Thorn, da Galaxy Research, analisou 250 relatos de vítimas. O pesquisador publicou os resultados no X.

Segundo o levantamento, o Bitcoin típico roubado permaneceu sem movimentação por 3,5 anos. Além disso, 88% dos fundos tinham ao menos um ano de inatividade.

Os valores mudam conforme o critério usado na análise. Por endereço, as perdas registraram mediana de 0,014 Bitcoin e média de 0,212 Bitcoin.

Já entre as vítimas individuais, a mediana alcançou 1,022 Bitcoin. Por sua vez, a média por vítima chegou a 4,04 unidades.

No caso mais grave da amostra, um investidor perdeu 58,97 Bitcoin. Portanto, os números revelam diferenças relevantes entre as perdas por endereço e os valores totais informados por vítima.

Os dados também mostram que muitas das carteiras de Bitcoin permaneceram inativas por longos períodos antes do ataque.

Falha afetou a geração das frases-semente

Os invasores começaram o ataque na quinta-feira. Na ocasião, eles retiraram mais de US$ 35 milhões em Bitcoin das carteiras.

A Coinkite, fabricante da Coldcard, atribuiu o problema a uma falha no firmware dos dispositivos Mk3. De acordo com a empresa, o erro surgiu na versão 4.0.1.

A fabricante lançou essa versão em março de 2021. Contudo, a falha fez o sistema recorrer a um gerador de números pseudoaleatórios de software considerado fraco.

Antes disso, o dispositivo usava um gerador de números verdadeiramente aleatórios do próprio hardware. Na prática, a mudança reduziu a segurança empregada na geração das frases-semente.

Como resultado, os invasores conseguiram essencialmente adivinhar as combinações usadas pelos investidores. Dessa forma, eles obtiveram acesso aos fundos armazenados nas carteiras vulneráveis.

O roubo continuou durante o fim de semana. Enquanto isso, a Coinkite e participantes da comunidade Bitcoin orientaram os usuários a transferir os fundos imediatamente.

Galaxy Research projeta perdas ainda maiores

Na sexta-feira, a Galaxy Research confirmou o roubo de US$ 111 milhões em Bitcoin. No entanto, a equipe alertou que o prejuízo total pode ser consideravelmente maior.

A organização ainda verificava outros valores relacionados ao ataque. Nesse contexto, a estimativa indicava perdas superiores a US$ 130 milhões.

“Temos muitos outros valores que estamos verificando para confirmação. Acreditamos que as perdas totais provavelmente excedam US$ 130 milhões.”

Galaxy Research no X

Desde o início do ataque, investidores passaram a transferir seus fundos para outras soluções de armazenamento. Entre os destinos escolhidos também estavam as exchanges.

Nesta semana, a Coinkite declarou que a falha em seu software passou despercebida. A empresa reconheceu ainda que o impacto potencial cresceu a cada lançamento de seus produtos.

Posteriormente, a fabricante voltou a pedir que os investidores atualizassem o software. Como alternativa, recomendou a retirada dos fundos das carteiras de hardware afetadas.

Assim, o episódio combina uma falha na geração de frases-semente com a exposição de valores mantidos por longos períodos. A apuração da Galaxy Research continua enquanto a equipe verifica novas perdas.