#coldcard漏洞被盗594枚btc
Irmãos, 594 Bitcoins, 38 milhões de dólares, 25 minutos, 500 carteiras... acabou tudo!
E não foi um site de phishing que roubou, não foi vazamento de chave privada. Foi uma vulnerabilidade fatal no firmware do Coldcard.
Vocês sabem o quão absurdo isso é? Em março de 2021, uma linha de código contornou o gerador de números aleatórios do hardware; em vez disso, passou a usar o número de série do chip e o valor do relógio para gerar as frases mnemônicas.
O número de série é fixo, o valor do relógio é previsível — basicamente, a senha do seu cofre é o número de fábrica mais a hora atual. O atacante, em casa, tomando café, consegue calcular sua chave privada em minutos.
O mais doloroso é que as vítimas soldaram as carteiras no cofre, ficaram offline e ficaram meses sem mexer, achando que estava tudo garantido. E o que aconteceu?
O hacker nem tocou no seu dispositivo. Ele simplesmente calculou suas chaves privadas remotamente e transferiu o dinheiro.
Que diferença isso faz de uma faca enfiada na crença de alguém?
Mas ainda não acabou. Os dados mais recentes na blockchain mostram que o volume roubado pode ser bem maior do que 594. Depois que o terceiro cluster de ataques foi identificado, a perda total estimada já disparou para 1367 BTC, com valor de cerca de US$ 88,6 milhões, afetando mais de 4500 endereços.
O problema não afeta apenas os modelos antigos Mk3. As frases mnemônicas geradas pela Mk4, Mk5 antes da versão 5.6.0, e Q antes da 1.5.0 Q, também estão todas comprometidas — a entropia efetiva é de apenas 72 bits em vez de 128 bits. Quase toda a linha foi comprometida.
O que fazer agora? Com os irmãos do Coldcard: verifiquem imediatamente a versão do firmware! Se as frases mnemônicas foram geradas em uma versão afetada, por padrão elas já ficaram expostas.
Atualizar o firmware não é consertar sementes já existentes. É preciso gerar uma frase mnemônica totalmente nova no dispositivo atualizado, criar novos endereços e migrar todos os ativos para lá! Façam um teste com valores pequenos primeiro, depois transfiram o saldo.
O vice-presidente da Strive disse uma frase que gelou o setor inteiro: "Isso muda permanentemente a confiança das pessoas na autogestão."
Carteira de hardware = segurança absoluta? A partir de hoje, essa afirmação não vale mais.
Irmãos, guardar a chave privada por conta própria está certo, mas não coloquem todos os ovos na mesma cesta. Multiassinatura, múltiplos fornecedores, múltiplos dispositivos, múltiplas localizações físicas — ou, diretamente, custódia institucional.
Neste setor, nunca acreditem que "está tudo garantido".
#BTC #BTC走势分析
Irmãos, 594 Bitcoins, 38 milhões de dólares, 25 minutos, 500 carteiras... acabou tudo!
E não foi um site de phishing que roubou, não foi vazamento de chave privada. Foi uma vulnerabilidade fatal no firmware do Coldcard.
Vocês sabem o quão absurdo isso é? Em março de 2021, uma linha de código contornou o gerador de números aleatórios do hardware; em vez disso, passou a usar o número de série do chip e o valor do relógio para gerar as frases mnemônicas.
O número de série é fixo, o valor do relógio é previsível — basicamente, a senha do seu cofre é o número de fábrica mais a hora atual. O atacante, em casa, tomando café, consegue calcular sua chave privada em minutos.
O mais doloroso é que as vítimas soldaram as carteiras no cofre, ficaram offline e ficaram meses sem mexer, achando que estava tudo garantido. E o que aconteceu?
O hacker nem tocou no seu dispositivo. Ele simplesmente calculou suas chaves privadas remotamente e transferiu o dinheiro.
Que diferença isso faz de uma faca enfiada na crença de alguém?
Mas ainda não acabou. Os dados mais recentes na blockchain mostram que o volume roubado pode ser bem maior do que 594. Depois que o terceiro cluster de ataques foi identificado, a perda total estimada já disparou para 1367 BTC, com valor de cerca de US$ 88,6 milhões, afetando mais de 4500 endereços.
O problema não afeta apenas os modelos antigos Mk3. As frases mnemônicas geradas pela Mk4, Mk5 antes da versão 5.6.0, e Q antes da 1.5.0 Q, também estão todas comprometidas — a entropia efetiva é de apenas 72 bits em vez de 128 bits. Quase toda a linha foi comprometida.
O que fazer agora? Com os irmãos do Coldcard: verifiquem imediatamente a versão do firmware! Se as frases mnemônicas foram geradas em uma versão afetada, por padrão elas já ficaram expostas.
Atualizar o firmware não é consertar sementes já existentes. É preciso gerar uma frase mnemônica totalmente nova no dispositivo atualizado, criar novos endereços e migrar todos os ativos para lá! Façam um teste com valores pequenos primeiro, depois transfiram o saldo.
O vice-presidente da Strive disse uma frase que gelou o setor inteiro: "Isso muda permanentemente a confiança das pessoas na autogestão."
Carteira de hardware = segurança absoluta? A partir de hoje, essa afirmação não vale mais.
Irmãos, guardar a chave privada por conta própria está certo, mas não coloquem todos os ovos na mesma cesta. Multiassinatura, múltiplos fornecedores, múltiplos dispositivos, múltiplas localizações físicas — ou, diretamente, custódia institucional.
Neste setor, nunca acreditem que "está tudo garantido".
#BTC #BTC走势分析