A Coinkite, a empresa canadense por trás da carteira de hardware Coldcard, alertou os usuários de que os fundos em Bitcoin podem estar em risco se a semente da carteira foi gerada em certas versões de firmware afetadas.
A empresa disse que o problema afeta todas as versões de firmware Mk3 desde a versão 4.0.1, lançada em março de 2021, e está ligado à entropia gerada pelo dispositivo usada na criação de sementes.
Fundos Ainda em Risco
Sementes geradas no Mk4 e Mk5 antes da versão de firmware 5.6.0, e no Q antes da versão 1.5.0Q, também estão afetadas, embora a Coinkite tenha dito que o impacto nesses modelos é menos severo, mas continua sério. De acordo com a empresa, as sementes afetadas têm cerca de 72 bits de entropia em vez dos esperados 128 bits. Segundo a atualização, TAPSIGNER, OPENDIME e SATSCARD não estão afetados porque usam bases de código diferentes.
A Coinkite instou os usuários com dispositivos afetados a migrar seus fundos para uma nova semente gerada em um dispositivo não afetado. A empresa disse que os usuários do Mk4 e Mk5 devem primeiro atualizar para a versão de firmware 5.6.0 ou posterior, enquanto os usuários do Q devem instalar a versão 1.5.0Q ou posterior antes de gerar uma semente de substituição.
Os usuários também foram aconselhados a fazer backup e verificar a nova semente, confirmar um novo endereço de recebimento no dispositivo e enviar uma pequena transação de teste antes de mover os fundos restantes. Se o Mk3 for a única opção disponível, sugeriu usar temporariamente uma frase de acesso BIP-39 forte e única e verificar cuidadosamente a impressão digital da carteira e o endereço de recebimento.
Roubo em Grande Escala
O aviso veio após vários relatos surgirem em 30 de julho de que o Bitcoin havia sido drenado de carteiras Coldcard. A Atlas21 relatou que uma operação automatizada varreu 500 endereços de assinatura única em quatro blocos consecutivos, de 960188 a 960191. As transações moveram 1.324 UTXOs totalizando 594,5 BTC, que valem cerca de $38 milhões a preços atuais. Evidências apontaram para chaves privadas fracas geradas quando as carteiras foram criadas.
Nenhuma carteira multisig ou Taproot estava entre as vítimas.
A perda mediana foi de 0,41 BTC, enquanto 110 vítimas perderam mais de um Bitcoin. A maior perda foi de 29,9 unidades do ativo cripto, enquanto a operação custou cerca de 0,044 unidades em taxas de transação. A Atlas21 disse que o primeiro aviso público veio de uma vítima no Reddit, que afirmou que sua Coldcard havia gerado a frase-semente de 24 palavras em 2021 e que a semente nunca havia sido inserida em um computador.
Apesar da drenagem maciça, o preço do Bitcoin permaneceu inabalável, continuando a ser negociado perto de $64.000.
Fonte: CryptoPotato
