Coldcard emite novo alerta de segurança sobre vulnerabilidade ligada a hack de Bitcoin

A fabricante de carteiras de hardware Coldcard divulgou um novo alerta de segurança de alta prioridade e afirmou que o risco criptográfico para seus usuários ainda não foi eliminado. A empresa orienta todos os clientes a transferirem seus bitcoins para carteiras recém-criadas e a gerarem palavras de recuperação (seed phrases) totalmente novas. Segundo a Coldcard, a vulnerabilidade que afeta o processo de geração de chaves segue representando perigo e está associada a perdas de cerca de US$ 40 milhões. A recomendação inclui atualizar o firmware e deixar de usar endereços criados por métodos de derivação antigos, medida destinada a reduzir o risco de transferências não autorizadas. A empresa também negou que o firmware atual torne os dispositivos Coldcard inutilizáveis de forma permanente. De acordo com a Coldcard, caso ocorra um erro temporário do gerador de números aleatórios verdadeiro (TRNG), desconectar o aparelho e reiniciá-lo após remover todas as fontes de energia tende a resolver o problema em condições normais de hardware. No comunicado, a companhia afirmou: “As alegações de que o software mais recente torna os dispositivos Coldcard permanentemente inutilizáveis são incorretas. Em caso de erro de TRNG, desconecte totalmente o dispositivo e reinicie. A situação é temporária; nenhum dado será gravado na memória flash, e o sistema foi projetado para desligar com segurança”. Desenvolvedores acrescentaram que não há evidências de que a correção atual do TRNG cause danos permanentes aos dispositivos. Eles explicaram que, se ocorrer um erro temporário na seed do TRNG, um desligamento completo seguido de reinício deve restaurar o funcionamento normal. Mesmo assim, a equipe trabalha em um novo patch para tornar mais segura a recuperação do sistema de geração de números aleatórios após falhas. A atualização proposta seguirá o procedimento de recuperação documentado pela STMicroelectronics e incluirá salvaguardas adicionais, como número limitado de tentativas, detecção de erro de seed e exclusão de saídas antigas do RNG após a recuperação. A Coldcard informou ainda que o suporte aos dispositivos Coldcard Mk3 será tratado em uma atualização de software separada. *Isso não é recomendação de investimento.