Galaxy: falha no RNG da Coldcard já drenou pelo menos 1.596 BTC; perdas podem chegar a ~US$ 130 milhões

A Galaxy Research afirma que a falha ligada à geração de sementes (seed) em carteiras de hardware Coldcard já teria causado perdas de, no mínimo, 1.596 BTC. Se uma quarta onda de roubos, ainda sob verificação, for confirmada, o total pode subir para cerca de 2.055 BTC — algo em torno de US$ 130 milhões. Em publicação no X, a Galaxy disse ter rastreado 1.596 BTC desviados de aproximadamente 7.300 endereços em três ondas confirmadas de ataques, além de 14 incidentes menores relacionados. A empresa optou por não incluir, por enquanto, uma suposta quarta onda na contagem oficial até que relatos de vítimas confirmem os sinais observados on-chain. Caso a atividade seja atribuída ao mesmo exploit, a perda agregada chegaria a aproximadamente 2.055 BTC. Como a Galaxy chegou aos números Segundo a empresa, o mapeamento on-chain identificou os 1.596 BTC associados às três ondas confirmadas. Uma leitura anterior, mais ampla e baseada apenas em blockchain, estimava a movimentação em quatro ondas em cerca de 1.815,75 BTC. A Galaxy diz ter refinado a estimativa confirmada, mas mantém a cifra maior como hipótese ainda não verificada, ligada à quarta onda suspeita. Os analistas apontaram essa possível quarta etapa em 3 de agosto, ao detectar padrões de transação semelhantes aos das investidas anteriores. A estimativa em andamento para essa onda suspeita ficou em cerca de 448,7 BTC, a partir de 709 possíveis endereços de vítimas. A Galaxy ressalta que, sem confirmações diretas, a evidência on-chain não permite identificar todas as vítimas nem concluir com certeza se um único operador executou todos os roubos. A atividade observada sugere que a quarta onda suspeita é "substancialmente composta" por um único atacante. A Galaxy diz ter confiança média a alta nessa avaliação, enquanto aguarda validações de vítimas. Qual é a vulnerabilidade A Coinkite, fabricante da Coldcard, divulgou a falha na semana passada e a relacionou a uma mudança de firmware feita em março de 2021. Durante a integração de uma nova biblioteca criptográfica, o caminho de geração da seed teria recorrido, por engano, a um gerador pseudoaleatório determinístico do MicroPython, em vez de usar o gerador de números aleatórios verdadeiro (RNG) com suporte de hardware do dispositivo. Como o RNG de hardware continuou presente em outras partes do firmware, verificações internas superficiais não teriam detectado a troca da fonte de entropia. Revisão independente A equipe de engenharia e segurança de Bitcoin da Block revisou o firmware de forma independente e chegou à mesma conclusão: versões vulneráveis teriam usado o fallback determinístico do MicroPython para criar seeds, em vez do RNG de hardware STM32. A Coinkite estima que a entropia efetiva nos dispositivos afetados ficou bem abaixo do planejado: cerca de 40 bits em algumas unidades Mk2/Mk3 e aproximadamente 72 bits nos modelos vulneráveis Mk4/Mk5 e Coldcard Q, frente aos 128 bits pretendidos. Padrão do ataque e status da investigação A Galaxy relata que, na maioria dos casos, os saldos roubados foram distribuídos entre muitos endereços recém-criados, em vez de concentrados em uma única carteira coletora. Parte dos fundos também teria passado por transações de "segunda etapa", o que dificulta o rastreamento. Na quarta onda suspeita, a Galaxy observou um salto na atividade para cerca de 13,8 "varreduras" (wallet sweeps) por bloco de Bitcoin, ante aproximadamente 0,3 por bloco anteriormente. Cerca de 90% dos BTC roubados seguem parados on-chain. A empresa afirma ainda que nenhuma das moedas levadas nas três ondas confirmadas se moveu desde o roubo, abrindo uma janela para monitoramento e resposta. A Galaxy diz estar trabalhando com autoridades federais dos EUA, corretoras de criptoativos e grupos de investigação cibernética, e que vem compartilhando endereços confirmados de atacantes e vítimas à medida que a apuração avança. A empresa alerta que outros agentes podem tentar explorar a mesma vulnerabilidade enquanto carteiras afetadas continuarem em uso; por isso, identificar endereços controlados pelos atacantes é visto como crucial para que exchanges e autoridades ajam se os fundos começarem a se mover. Orientação para usuários afetados Galaxy e Coinkite recomendam que usuários de Coldcard transfiram fundos de carteiras criadas com firmware vulnerável para novos endereços seguros e gerem frases-semente totalmente novas apenas após instalar o firmware corrigido. A Coinkite lançou atualizações emergenciais para todos os modelos afetados (por exemplo, v4.2.0 para Mk2/Mk3, v5.6.0 para Mk4/Mk5 e v1.5.0Q para Coldcard Q) e informou ter destruído o estoque remanescente com o firmware vulnerável. Alertas importantes da Coinkite A instalação do update protege apenas carteiras criadas depois da correção. Seeds já geradas sob firmware vulnerável permanecem expostas e precisam ser substituídas. A fabricante recomenda criar uma seed totalmente nova em um dispositivo já corrigido, verificar um endereço de recebimento, enviar uma transação de teste pequena e transferir o saldo total apenas após a confirmação do teste. Carteiras criadas com pelo menos 50 rolagens justas de dados privados (private dice rolls) não seriam vulneráveis apenas por esse problema de RNG. Uma passphrase forte no BIP39 também adiciona proteção, mas a Coinkite ainda recomenda a migração porque o material original da seed continua fraco. Outras observações sobre recuperação A Galaxy já havia indicado que, se o usuário enxergar uma transação de roubo ainda não confirmada, pode existir uma janela estreita para tentar substituí-la via Replace-by-Fee (RBF). A medida só vale antes de a transação original ser minerada e não garante recuperação. Conclusão O caso reforça como erros em nível de firmware podem comprometer a segurança de carteiras de hardware. Quem usa Coldcard deve checar a versão do firmware, tratar como comprometidas as seeds criadas em versões vulneráveis e migrar os fundos apenas após aplicar as correções e seguir o checklist de migração da Coinkite. A Galaxy segue mapeando endereços e colaborando com autoridades para rastrear os atacantes e reduzir novas perdas enquanto a investigação continua.