$BTC A conta oficial no X da Coldcard, fabricante de carteiras de hardware, publicou hoje, às 13h46, horário de Pequim, uma publicação com um link, disfarçada de «atualização de segurança urgente». Alegava que havia uma nova vulnerabilidade na geração de frases-semente e pedia aos detentores que transferissem os seus ativos para um novo site o mais rapidamente possível. A publicação foi apagada pouco depois.
A equipa emitiu então um alerta público: não aceda ao link nem interaja com ele; o único site oficial é coldcard.com. O investigador PortlandHODL analisou o site falso: a página copiava a identidade visual da marca e pedia 12 ou 24 palavras da frase-semente. Executou o código numa sandbox e verificou que os dados introduzidos eram enviados para um servidor externo.
Mais intrigante é a segunda nota. A conta tinha a autenticação de dois fatores offline ativada desde 2017, e o acesso era extremamente restrito. Depois de verificar a situação junto da plataforma, a equipa respondeu que não encontrou qualquer registo de início de sessão, sessão ou acesso correspondente; as credenciais e a autenticação de dois fatores offline continuam intactas. Classificou o caso como um acesso não autorizado ao nível da plataforma ou das permissões de administração, mas a causa continua por esclarecer. Até ao momento, não houve qualquer relato de perdas financeiras.
O momento também não é dos melhores. Há pouco mais de dois meses, este fabricante revelou uma falha na geração de números aleatórios das frases-semente. Os lotes afetados precisavam de gerar novas sementes e transferir os ativos, e as notícias publicadas na altura apontavam para perdas superiores a 110 milhões de dólares.
Toda a proposta de valor das carteiras de hardware assenta na ideia de «não confio em nada que esteja online». Mas o ponto realmente comprometido foi precisamente aquele que a máquina que nunca se liga à internet não consegue controlar.
#比特币自托管 #carteiradehardware
A equipa emitiu então um alerta público: não aceda ao link nem interaja com ele; o único site oficial é coldcard.com. O investigador PortlandHODL analisou o site falso: a página copiava a identidade visual da marca e pedia 12 ou 24 palavras da frase-semente. Executou o código numa sandbox e verificou que os dados introduzidos eram enviados para um servidor externo.
Mais intrigante é a segunda nota. A conta tinha a autenticação de dois fatores offline ativada desde 2017, e o acesso era extremamente restrito. Depois de verificar a situação junto da plataforma, a equipa respondeu que não encontrou qualquer registo de início de sessão, sessão ou acesso correspondente; as credenciais e a autenticação de dois fatores offline continuam intactas. Classificou o caso como um acesso não autorizado ao nível da plataforma ou das permissões de administração, mas a causa continua por esclarecer. Até ao momento, não houve qualquer relato de perdas financeiras.
O momento também não é dos melhores. Há pouco mais de dois meses, este fabricante revelou uma falha na geração de números aleatórios das frases-semente. Os lotes afetados precisavam de gerar novas sementes e transferir os ativos, e as notícias publicadas na altura apontavam para perdas superiores a 110 milhões de dólares.
Toda a proposta de valor das carteiras de hardware assenta na ideia de «não confio em nada que esteja online». Mas o ponto realmente comprometido foi precisamente aquele que a máquina que nunca se liga à internet não consegue controlar.
#比特币自托管 #carteiradehardware