Roubo de Bitcoins da Coldcard: FBI pode ter pistas sobre o criminoso.
Texto alternativo:
Os investigadores podem ter encontrado uma pista concreta no roubo de mais de 1,000 Bitcoins de carteiras de hardware da Coldcard, mas ainda não há confirmação pública de que o FBI tenha identificado ou prendido o responsável pelo ataque.
A Bitcoin Magazine noticiou em 18 de agosto que informações descobertas durante uma investigação da Block foram compartilhadas com as autoridades policiais. O analista da Galaxy Research, Alex Thorn, afirmou que a identidade do autor da primeira onda de ataques "pode ser conhecida pelas autoridades policiais".
A primeira onda de ataques drenou 1,082.65 BTC em 30 de julho. Essas moedas permanecem em endereços vinculados ao atacante, de acordo com pesquisadores que monitoram o incidente. Ao longo de múltiplas ondas, as perdas ultrapassaram 1,800 BTC, com as estimativas continuando a mudar à medida que os pesquisadores identificam carteiras adicionais afetadas.
Principais lições
- Os investigadores ligaram a primeira onda de roubos da Coldcard a uma conta paga num fornecedor de dados blockchain.
- A primeira onda de ataques roubou 1,082.65 BTC, enquanto ataques posteriores parecem ter explorado a mesma falha na geração de sementes.
- O FBI não confirmou publicamente nenhum suspeito, prisão, acusação ou recuperação dos Bitcoins roubados.
- A Coinkite afirma que os usuários com seeds afetadas devem criar novas carteiras e transferir seus fundos, em vez de depender apenas de uma atualização de firmware.
Uma conta de dados em blockchain pode ter dado uma pista aos investigadores.
A descoberta mais significativa veio de Clay Garrett, líder de engenharia da Block, cuja equipe examinou a atividade do atacante na blockchain. Os investigadores notaram que o atacante parecia usar uma conta paga com um provedor de serviços de blockchain para pesquisar endereços de origem e realizar atividades relacionadas durante as varreduras de carteiras.
Block então contatou o provedor e comparou a atividade suspeita com seus registros internos. Garrett disse que os registros correspondiam ao número, horário e sequência das solicitações com “extraordinária especificidade”.
“O operador utilizou uma conta paga em um provedor de serviços blockchain bastante conhecido para consultar os endereços de origem e realizar outras atividades relacionadas.”
A Block afirmou ter repassado as informações relevantes às autoridades. Também declarou não haver evidências de que o provedor tenha participado ou facilitado o roubo de forma consciente. A descoberta é significativa porque as transações em blockchain normalmente fornecem aos investigadores endereços de carteiras, e não nomes. Uma conta de serviço paga poderia potencialmente fornecer registros adicionais que ajudam a conectar um operador on-chain a uma identidade real. No entanto, nem o provedor nem o titular da conta foram identificados publicamente.
A identificação feita pelo FBI permanece não confirmada.
O comentário de Thorn de que a identidade do atacante “pode ser conhecida pelas autoridades policiais” não deve ser interpretado como confirmação de uma descoberta importante do FBI. Não houve nenhum anúncio público confirmando que os investigadores identificaram um suspeito, efetuaram uma prisão, apresentaram acusações criminais ou apreenderam os Bitcoins roubados.
Os fundos da primeira onda de ataques também permanecem em endereços associados ao atacante. Isso fornece aos investigadores um rastro visível para monitorar, mas não significa que os fundos tenham sido recuperados. Ataques posteriores também podem complicar a investigação. A Galaxy Research relatou evidências de múltiplos agentes explorando a vulnerabilidade do Coldcard, com algumas ondas posteriores apresentando padrões de transação diferentes do ataque inicial.
O roubo ocorreu devido a uma falha na geração de sementes de anos atrás.
Os ataques foram possíveis devido a uma vulnerabilidade no processo de geração de sementes da Coldcard. Uma alteração de firmware introduzida em 2021 fez com que os dispositivos afetados utilizassem um caminho de aleatoriedade fraco na geração de determinadas sementes de carteira. Isso reduziu o número de chaves privadas possíveis o suficiente para que os atacantes pudessem explorar o espaço de sementes vulnerável e identificar carteiras contendo Bitcoin.
O histórico de segurança da Coinkite agora lista o firmware afetado em diversas linhas de produtos da Coldcard e confirma que a vulnerabilidade foi corrigida em versões posteriores. A empresa enfatizou que a simples atualização do firmware não torna uma seed vulnerável existente segura. Usuários cujas seeds foram geradas sob as condições afetadas precisam criar uma nova seed usando o firmware corrigido e transferir seus fundos. O aviso da Coinkite alerta especificamente os usuários que geraram seeds em firmwares afetados sem testes independentes suficientes para considerar essas seeds como vulneráveis.
Mais Bitcoins podem estar em risco.
A investigação não se limita aos 1,082.65 BTC roubados durante a primeira onda. A Galaxy Research relatou que os atacantes começaram a drenar carteiras vulneráveis da Coldcard em várias ondas após 30 de julho, com perdas que chegaram a aproximadamente US$ 130 milhões no início de agosto. Os pesquisadores acreditam que vários atacantes podem ter explorado a mesma vulnerabilidade de forma independente. Isso significa que identificar o primeiro atacante não resolveria necessariamente todos os roubos relacionados à vulnerabilidade.
Isso também deixa os usuários com seeds Coldcard mais antigas enfrentando uma preocupação mais imediata. A falha existiu por anos antes de ser descoberta, o que significa que algumas carteiras vulneráveis podem permanecer expostas mesmo que ainda não tenham sido alvo de ataques.
O que acontece depois
A conta paga de dados blockchain pode se tornar uma das peças de evidência mais importantes na investigação, caso seus registros possam ser conectados à pessoa que controla os Bitcoins roubados.
Por enquanto, o caso permanece em investigação, e não há confirmação do FBI sobre a identificação dos fundos. A movimentação dos 1,082.65 BTC, qualquer anúncio das autoridades policiais e novas divulgações da Block ou da Galaxy serão os principais desdobramentos a serem acompanhados. Para os usuários afetados do Coldcard, a mensagem continua sendo simples: atualizem o dispositivo, gerem uma nova seed e transfiram os fundos de qualquer carteira potencialmente comprometida. A Coinkite continua recomendando que os usuários afetados migrem seus ativos, em vez de presumir que a atualização do firmware protege a seed existente.
Conclusão
A investigação da Coldcard gerou uma pista potencialmente valiosa ao conectar a primeira onda de roubos à atividade em uma conta paga de dados em blockchain. Isso pode ajudar os investigadores a preencher a lacuna entre endereços anônimos de Bitcoin e um operador real.
Mas até que o FBI ou outra autoridade confirme a identificação, prisão ou apreensão, a identidade do atacante permanece não verificada. A investigação ainda está em andamento, enquanto os pesquisadores continuam rastreando os Bitcoins roubados e o conjunto maior de carteiras expostas pela falha de geração de sementes do Coldcard.
