Falha de firmware de 5 anos em carteiras Coldcard é explorada e resulta em roubo de mais de US$ 100 milhões em bitcoin

Cory Klippsten, CEO da Swan, estava em um casamento em Paris quando começou a receber alertas em sequência. Em entrevista, ele descreveu o período como um "fim de semana brutal" para quem perdeu bitcoin e disse que chegou a enviar mensagens às 4h da manhã para ajudar um cliente no fuso do Pacífico a colocar as moedas em segurança. O episódio começou na última quinta-feira, quando invasores passaram a esvaziar bitcoins de milhares de carteiras de hardware Coldcard. O ataque explorou uma falha de firmware que teria permanecido despercebida por cinco anos. Segundo as informações, um defeito em uma atualização de março de 2021 do firmware da carteira produzida pela Coinkite deixou usuários com chaves privadas menos protegidas do que deveriam. Após três ondas de invasão, quase 1.600 BTC, avaliados em mais de US$ 100 milhões, foram retirados de cerca de 7.300 endereços, de acordo com a Galaxy Research. A Swan, plataforma sediada nos EUA que auxilia investidores a comprar, manter e fazer autocustódia de bitcoin, suspendeu saques para clientes considerados em risco, enviou alertas no aplicativo e ampliou o suporte de migração para além de sua própria base. "Nosso time parou tudo para começar a ligar para os clientes e depois abrimos para qualquer pessoa que precisasse de ajuda, mesmo que nunca tivesse sido cliente da Swan", afirmou Klippsten. Uma semana depois, quase 90% das moedas roubadas seguem sem movimentação on-chain. Endereços de atacantes confirmados foram compartilhados com autoridades federais dos EUA. A Coinkite, empresa de Toronto, informou ter corrigido todas as linhas de dispositivos afetadas. Uma equipe voluntária financiada pela OpenSats analisou mais de 150 repositórios de código aberto e não encontrou indícios de que o problema se estendesse além da Coldcard. A exploração reacendeu, em parte do setor, o debate sobre o valor da autocustódia, com alguns defendendo que investidores avaliem alternativas como comprar bitcoin por meio de ETFs, em vez de manter as moedas por conta própria. Klippsten diz não ver uma fuga da autocustódia. Na leitura dele, clientes estão buscando formas de tornar o acesso aos bitcoins mais difícil. "As pessoas estão migrando para o Swan Vault agora", afirmou, em referência ao produto de multisig colaborativo da empresa, no qual nenhum dispositivo isolado consegue colocar os fundos do usuário em risco. "Em vez de abandonar a autocustódia, muitos estão elevando o nível dela." O CEO resume a semana com otimismo cauteloso: "É terrível que pessoas tenham perdido moedas, e elas fizeram tudo certo de acordo com o que muita gente conhecida do setor recomendava. Mas o Bitcoin é antifrágil e as ferramentas ficam mais fortes a cada hora. Isso pode acabar sendo a melhor coisa que já aconteceu para a autocustódia."