Após o escândalo envolvendo a Coldcard, em que, devido a uma vulnerabilidade, invasores roubaram mais de 100 milhões de dólares em bitcoins, um grupo de voluntários chamado Bitcoin Red Team iniciou um amplo auditório de IA do código aberto do ecossistema. Em 27,5 horas, uma equipe de 16 pessoas verificou 390 projetos e reportou 4962 potenciais vulnerabilidades — e isso é apenas o começo do trabalho, que já está mudando a forma como toda a indústria aborda a segurança.
Coldcard: cinco anos de um erro não percebido
A motivação para a auditoria foi a história dos dispositivos de carteira de hardware Coldcard, que por muito tempo foram considerados uma das formas mais seguras de armazenar bitcoins. Pesquisadores da Block descobriram que, ainda em 2021, houve um erro na integração do firmware: em vez de usar um gerador de números aleatórios baseado em hardware para gerar números aleatórios, o dispositivo STM32 utilizou um gerador de números aleatórios determinístico do MicroPython Yasmarang. Com isso, a entropia caiu para cerca de 40 bits na linha Mk3 — em vez dos 128 bits esperados para a seed padrão do BIP-39. $BTC
Coldcard: cinco anos de um erro não percebido
A motivação para a auditoria foi a história dos dispositivos de carteira de hardware Coldcard, que por muito tempo foram considerados uma das formas mais seguras de armazenar bitcoins. Pesquisadores da Block descobriram que, ainda em 2021, houve um erro na integração do firmware: em vez de usar um gerador de números aleatórios baseado em hardware para gerar números aleatórios, o dispositivo STM32 utilizou um gerador de números aleatórios determinístico do MicroPython Yasmarang. Com isso, a entropia caiu para cerca de 40 bits na linha Mk3 — em vez dos 128 bits esperados para a seed padrão do BIP-39. $BTC