Bitcoin Magazine
Coinkite Lança Firmware Corrigido Após Bug do Coldcard; IA Provavelmente Envolvida na Violação
Mais de mil bitcoins são acreditados como tendo sido roubados até agora em um hack que começou a ser discutido nas redes sociais na tarde de 30 de julho. A Coinkite, um dos fabricantes de carteiras de hardware mais respeitáveis, teve um bug crítico revelado na forma como gerava chaves privadas seguras para suas carteiras de hardware Bitcoin. Especialistas da indústria acreditam que IA foi utilizada na violação.
Dispositivos Coldcard MK3 com versão de firmware 4.0.1 (março de 2021) até 4.1.9 são os mais afetados. Sementes de 12 ou 24 palavras geradas pelo dispositivo que não incluíam lançamentos de dados gerados pelo usuário ou uma frase secreta extra BIP 39 são vulneráveis.
Usuários que se encaixam nessa categoria, que possuem bitcoins em um Coldcard MK3 e não usaram o recurso de lançamento de dados para entropia extra ou a frase secreta extra, devem se considerar em risco e mover suas moedas o mais rápido possível das carteiras. O escritor técnico da Bitcoin Magazine, Shinobi, publicou um guia sobre o assunto, e a Coinkite também publicou um guia e um aviso.
A vulnerabilidade era uma linha específica de código no firmware, uma base de código de software de baixo nível que controla o hardware. Este firmware parece ser atualizável. O aviso da Coinkite foi atualizado esta manhã, aconselhando os usuários a atualizar o firmware do dispositivo para todos os três chips, dispositivos MK3, MK4 e MK5, incluindo o Coldcard Q:
“Atualizado em 31 de julho de 2026 às 9:33 a.m. EDT: O firmware corrigido já está disponível. Usuários do Mk4 e Mk5 devem atualizar para a versão 5.6.0 ou posterior. Usuários do Q devem atualizar para a versão 1.5.0Q ou posterior. Para o Mk3, atualize para a versão 4.2.0 ou posterior.”
A Coinkite também explicou em seu aviso que atualizar o firmware não significa que as chaves privadas e públicas geradas pelo firmware vulnerável antes da atualização agora estão seguras; essas chaves permanecem vulneráveis, pois foram efetivamente criadas com uma senha fraca. Após a atualização do firmware, uma nova carteira precisa ser criada, e os fundos devem ser enviados onchain para os novos endereços para garantir a segurança dos fundos. A Coinkite escreveu:
“Atualizar o firmware não altera ou repara uma semente existente. Se sua semente foi gerada antes da versão corrigida do firmware para seu modelo, siga as orientações de migração abaixo, a menos que a exceção de entropia de dados independente se aplique a você.”
Algumas Carteiras Multisignature Podem Estar em Risco
Peter Todd, colaborador principal e engenheiro de cibersegurança, abordou hoje casos específicos para carteiras multi-assinatura que usam um limite de Coldcards para proteger fundos. “Caso de exemplo: você tem um 2-de-3, com 2 Cold Cards e um 3º dispositivo não comprometido. Se você mover seus fundos, no momento em que seu script for revelado pela primeira vez – anteriormente oculto atrás do hash do endereço – o atacante agora sabe o suficiente para usar as 2 chaves de cold card comprometidas para roubar seus fundos.”
A transação que revela o script multisig pode estar não confirmada, dando aos hackers tempo suficiente para criar uma transação concorrente com uma taxa mais alta. Felizmente, tais casos têm uma solução: o pool de mineração MARA pode ajudar nesse caso com seu serviço de mineração de mempool privado, Slipstream; “porque eles prometem manter sua transação – e assim as chaves públicas – em segredo até que já estejam em um bloco. Reduzindo drasticamente a capacidade do atacante de roubar os fundos”, disse Todd. Ele acrescentou que “Se você já reutilizou endereços, isso não é relevante, e você deve apenas tentar mover seus fundos o mais rápido possível. Mas se você não o fez, a MARA pode ser capaz de ajudar.”
Além da Crise Imediata
NVK, um dos cofundadores da Coldcard, publicou um longo post no X com uma análise inicial além das etapas básicas de segurança necessárias para proteger os fundos. Nele, ele escreveu que a empresa está “comprometida em trabalhar com usuários afetados que desejam fazer um boletim de ocorrência, uma reclamação de seguro ou sua própria investigação”, incluindo “um resumo escrito do incidente específico à sua perda e quaisquer dados de transação que possamos compartilhar”.
Além da crise imediata, NVK apontou para uma mudança tecnológica mais ampla à medida que as capacidades de hacking da IA começam a mudar as dinâmicas e expectativas anteriores de cibersegurança. No post do blog, ele escreveu:
“Para todos os outros desenvolvedores: acreditamos que esta é uma realidade sóbria do novo paradigma de IA. A revisão de código assistida por IA agora pode encontrar bugs latentes a uma velocidade que supera até mesmo os especialistas mais experientes da indústria. Se seu firmware é de código aberto ou já foi público, assuma que já está sendo lido por atacantes e defensores.”
O hack e mais de 70 milhões de dólares em fundos estimados roubados nas últimas 24 horas são uma recompensa efetiva paga a hackers que agora provavelmente estão auditando cada base de código de carteira disponível em busca de vulnerabilidades. Enquanto a indústria do Bitcoin e do setor de criptomoedas em geral operou sob a suposição de que hackers testariam seu código, o desenvolvimento de modelos de IA otimizados para cibersegurança acelera esses processos.
Especialistas da indústria se reuniram em uma longa chamada pública no X Spaces na noite passada, discutindo o tópico por muitas horas. Além das recomendações imediatas e respondendo perguntas aos usuários de Bitcoin ao longo do longo Spaces, também foi discutida uma análise do que provavelmente seguirá nas próximas semanas. Outros provedores de carteira provavelmente serão investigados, e especialmente projetos de código aberto que geram material de chave privada serão testados.
O X Spaces não foi gravado, provavelmente para preservar a privacidade de todos na chamada; no entanto, o sentimento inicial sugere que as empresas precisarão auditar seu código com os modelos de fronteira mais recentes, como questão de sobrevivência. Os mais recentes modelos de IA voltados para cibersegurança da Anthropic, OpenAI, Kimi K3 da Moonshot e outros já estão disponíveis ao público. Muitas empresas na indústria do Bitcoin já os utilizam para testar a integridade do código, mas algumas podem não estar, e a corrida para encontrar vulnerabilidades no código voltado para carteiras certamente continuará, especialmente nas próximas semanas.
Em última análise, hoje lamentamos moedas perdidas, e um estado de introspecção e revisão cuidadosa ocorre. Além deste hack agora histórico, haverá uma indústria e infraestrutura de autocustódia de código aberto que provavelmente será ordens de magnitude mais segura, com lições muito difíceis aprendidas. Afinal, todo hacker com um agente de IA provavelmente está testando defesas agora.
Carteiras Multi-vendor, Multi-key e Convênios
Futuras carteiras de alta soberania, seja no nível de varejo ou corporativo, provavelmente não dependerão de nenhum único fornecedor. Carteiras multisignature, quando bem feitas, podem distribuir riscos de vulnerabilidade entre diferentes bases de código, equipes e hardware.
A entropia gerada pelo usuário também foi um tema importante nos X Spaces discutidos anteriormente, com a entropia gerada por lançamentos de dados sendo mencionada regularmente como uma solução. Coldcards, assim como outras carteiras de hardware como Foundation Devices, orientam os usuários sobre como adicionar sua própria entropia corretamente; muitos dados precisam ser lançados, idealmente mais de cem lançamentos individuais. Uma vez feito, no entanto, os lançamentos de dados representam uma fonte de aleatoriedade não baseada em software para carteiras que também separa os usuários dos riscos de casos extremos em entropia gerada por software ou hardware.
Os Covenants, um soft fork popular entre um certo nicho na indústria do Bitcoin, também começaram a ser mencionados como um passo adicional para fortalecer a indústria de autocustódia. Essa atualização no consenso do Bitcoin, que pode ser difícil de alcançar, se é que será alcançada, poderia dar aos usuários importantes capacidades de contratos inteligentes, como uma carteira que só pode enviar para uma lista branca de endereços, algo que não é possível no script do Bitcoin hoje.
Este post Coinkite Lança Firmware Corrigido Após Bug do Coldcard; IA Provavelmente Envolvida na Violação apareceu pela primeira vez na Bitcoin Magazine e é escrito por Juan Galt.
Fonte: BitcoinMagazine
