Quando você achou que o ânimo do mercado de cripto não poderia cair ainda mais, chega o bug de entropia da Coldcard para provar que você estava errado.
A descoberta de uma falha em uma das carteiras de hardware mais antigas do setor na última sexta-feira serve como um lembrete contundente de que não existe um lugar perfeitamente seguro para guardar todo o seu Bitcoin.
A Coldcard divulgou a falha de geração de entropia que afetava vários dispositivos Coldcard em 31 de julho. Desde então, pesquisadores da Galaxy Digital dizem que os atacantes conseguiram roubar mais de 1.596 Bitcoin, no valor de pelo menos US$ 100 milhões, por meio de vários ataques coordenados.
Agora, fabricantes de carteiras estão sendo forçados a explicar um processo que a maioria dos usuários nem sequer pensa: como a carteira gera a chave privada para proteger seu Bitcoin.
Michael Tanguma, diretor de produto da empresa de custódia de Bitcoin Onramp Bitcoin, conta à Magazine:
“O modelo inteiro se baseia na confiança de que o fornecedor fez certo […] Quase ninguém consegue auditar o hardware, o firmware e a geração de entropia por baixo do dispositivo.”
A Coinkite, a empresa por trás do Coldcard, lançou correções de firmware e orientou usuários afetados a migrar seus fundos, mas o incidente abalou os HODLers de Bitcoin até o âmago, e levanta uma pergunta desconfortável:
Se carteiras Coldcard puderem ser exploradas, isso significa que todas as carteiras de hardware são potencialmente inseguras?
Um bug escondido nas bases
A vulnerabilidade do Coldcard não explorou o próprio Bitcoin nem quebrou a criptografia moderna, mas atingiu algo muito mais fundamental: a aleatoriedade.
Toda carteira de Bitcoin começa gerando uma frase-semente a partir de um conjunto de dados aleatórios, o que significa que a aleatoriedade deve ser suficientemente imprevisível para tornar as chaves privadas resultantes efetivamente impossíveis de adivinhar. Entropia se refere ao quão aleatória ela é.
Se essa aleatoriedade for enfraquecida por qualquer motivo, os atacantes podem reduzir o número de chaves possíveis que poderiam ser geradas e, eventualmente, encontrar uma forma de reproduzi-las.
A Coinkite primeiro alertou os usuários em 31 de julho de que carteiras criadas no firmware afetado deveriam ser consideradas em risco e orientou os clientes a migrar os fundos para carteiras recém-geradas. À medida que pesquisadores aprofundaram o bug nos dias seguintes, rapidamente ficou claro que sua atenção se voltou para como uma falha em uma parte tão crítica da carteira havia passado despercebida por mais de cinco anos.
O desenvolvedor do Core Lightning, Dustin Dettmer, sugeriu que isso pode ter se originado durante mudanças de firmware feitas em 2021.
Ele acredita que um código destinado a interagir com o gerador de números aleatórios de hardware foi desativado, o que fez a criação da carteira voltar ao gerador pseudoaleatório Yasmarang mais fraco do MicroPython.
Sua teoria se tornou uma das principais explicações para como o bug pode ter entrado no firmware de produção, embora a Coinkite não tenha confirmado a sequência exata de eventos e diga que vai publicar uma análise técnica completa “em breve”. Um porta-voz da Coinkite diz à Magazine:
“Certas versões de firmware tinham um caminho de contingência na geração de seeds que poderia produzir entropia fraca quando gerada pelo próprio firmware do dispositivo.”
Dispositivos em que os usuários geraram sua própria entropia por meio de rolagens de dados ou métodos manuais semelhantes “não foram afetados por esse caminho de contingência específico”, diz o porta-voz.
Geração fraca de números aleatórios (RNG) não é algo sem precedentes, mas, diferente de muitas outras falhas de segurança, é difícil de detectar.
O especialista em segurança do Bitcoin Jameson Lopp observou que vulnerabilidades de RNG já afetaram uma longa lista de carteiras e bibliotecas de criptomoedas, indo do wallet Android da Blockchain.com ao Trust Wallet.
Geração fraca de números aleatórios não é um problema novo. Fonte: Jameson Lopp
O diretor de segurança de produto da Ledger, Vincent Bouzon, diz à Magazine que “aleatoriedade fraca passa nos testes de saída”, o que significa que geradores comprometidos de números aleatórios ainda podem produzir valores que parecem aleatórios, tornando falhas difíceis de identificar.
Carteiras diferentes, premissas de aleatoriedade diferentes
Fabricantes de carteiras de hardware concordam que a geração segura de entropia é inegociável, mas adotam abordagens diferentes para alcançá-la.
A filosofia da Ledger se concentra em hardware de segurança dedicado. Bouzon diz que os dispositivos Ledger geram seeds usando um gerador de números verdadeiramente aleatórios embutido em um Secure Element certificado. A fonte de entropia é certificada sob o padrão AIS-31 PTG.2 e o Secure Element passa por certificação em Common Criteria. Ele diz:
“Esse incidente do Coldcard foi uma falha em uma implementação específica, não um veredito sobre autocustódia segura […] A geração dessa entropia deve estar ancorada em hardware seguro, com uma arquitetura que não possa, silenciosamente, degradar para uma fonte de software não confiável.”
Gerar randoness de alta qualidade é onde tudo vive ou morre. Fonte: Charles Guillemet
No caso da Trezor, ela combina aleatoriedade gerada dentro do próprio dispositivo com aleatoriedade fornecida pelo computador hospedeiro, em vez de depender de uma única fonte de entropia; além disso, modelos mais novos também incorporam fontes adicionais de hardware.
A empresa também inclui verificações de entropia para confirmar que o dispositivo realmente contribuiu com aleatoriedade imprevisível durante a criação da carteira. Tomáš Sušánka, diretor técnico-chefe da Trezor, conta à Magazine:
“O aprendizado para toda a indústria é que a aleatoriedade não pode depender de uma única fonte nem de uma única linha de código estar correta.”
A carteira Passport da Foundation também depende de múltiplas fontes de entropia, ao mesmo tempo em que enfatiza transparência. O diretor executivo Zach Herbert diz que o Passport combina aleatoriedade gerada por componentes de hardware separados antes de criar uma carteira.
O firmware também é publicado como software livre e de código aberto com builds reproduzíveis, de modo que pesquisadores independentes podem verificar se o software executado no dispositivo corresponde ao código publicado. Herbert diz:
“O bug em si era específico do Coldcard [...] O alerta maior é que isso passou despercebido por mais de cinco anos enquanto as pessoas confiavam ao produto quantias de dinheiro que mudam vidas.”
Confiança, transparência e verificação
A verdadeira divisão entre Ledger, Trezor e Foundation não é sobre a importância da aleatoriedade, mas sobre como os usuários podem ter certeza de que ela está realmente funcionando.
A Ledger argumenta que a certificação independente oferece a maior garantia. A Foundation se apoia em desenvolvimento de código aberto, builds reproduzíveis e na abertura a pesquisadores externos, e a Trezor combina firmware aberto com fontes de entropia em camadas para evitar depender de qualquer componente único.
A abordagem da Coinkite para divulgações de segurança também tem sido alvo de críticas, com vários desenvolvedores de Bitcoin criticando a empresa pelas respostas dadas a relatórios de vulnerabilidades no passado e pela ausência de um programa tradicional de recompensa por bugs.
Herbert argumenta que acolher pesquisadores externos faz parte, por si só, de construir produtos seguros, junto com desenvolvimento de código aberto e auditorias independentes.
Nick Percoco, diretor de segurança da Kraken e ex-diretor de segurança da Uptake, vê o incidente do Coldcard como uma oportunidade para a indústria adotar padrões mais fortes, independentemente da filosofia de design escolhida pelos fabricantes.
“A falha de entropia do Coldcard deve servir como um alerta para toda a indústria de carteiras de hardware”, disse ele, argumentando que, hoje, os esquemas de certificação frequentemente validam componentes individuais sem confirmar que o firmware de produção realmente os está usando corretamente.
A falha de entropia do Coldcard deve ser um alerta. Fonte: Nick Percoco
Percoco propôs um padrão de garantia específico para a indústria que exige validação independente das fontes de entropia, verificação de que o firmware chama o gerador de números aleatórios de hardware pretendido e certificação vinculada a versões específicas de hardware e firmware.
Mas o debate vai além da implementação técnica, com vozes como a de Herbert defendendo que o desenvolvimento de código aberto também molda a cultura de segurança. Ele cita programas de recompensa por bugs e engajamento construtivo com pesquisadores independentes como partes essenciais do desenvolvimento de produtos seguros.
O que os bitcoineres devem fazer agora?
Para usuários do Coldcard, a prioridade imediata é seguir as orientações de migração da Coinkite se acreditarem que suas carteiras foram criadas usando o firmware afetado.
No longo prazo, os bitcoineres, no geral, devem usar este episódio como um momento de aprendizado, com especialistas como Tanguma destacando a necessidade de evitar arquiteturas de design nas quais qualquer falha única possa comprometer seus fundos. Ele diz:
“Hoje, na prática, você quer multisig e entropia gerada de forma independente [...] A mitigação que realmente escala é arquitetural: configurações em que nenhum dispositivo, fornecedor ou instituição individual pode errar e fazer com que os fundos sejam perdidos.”
Então, por enquanto, a resposta parece ser não; nem todas as carteiras de hardware são inseguras.
O incidente do Coldcard expôs uma falha em uma implementação, mas também forçou os fabricantes a levantar o véu sobre o processo no coração da autocustódia: gerar um segredo que ninguém mais consegue prever.
Magazine: A obsessão de 100x: os fundamentos ganham importância à medida que o cripto amadurece