O que aconteceu
A Coinkite acaba de lançar uma atualização crucial para o firmware do Coldcard, visando fortalecer a geração de seeds. A empresa alertou os usuários sobre a necessidade de gerar novas frases seed, já que as existentes permanecem vulneráveis, mesmo após a atualização de segurança.
Nova Atualização e Segurança
O firmware 5.6.1 para os dispositivos Coldcard Mk4 e Mk5, além do 1.5.1Q para o Coldcard Q, foi disponibilizado em um post no blog da Coinkite. A atualização exige que as novas seeds incluam entropia fornecida pelo usuário, que pode ser obtida através de pelo menos 65 pressionamentos de tecla com tempos imprevisíveis, 50 lançamentos de um dado de seis lados ou 128 jogadas de moeda. Essa entropia é combinada com a aleatoriedade proveniente de várias fontes do dispositivo, incluindo seus elementos de segurança e gerador de números aleatórios (RNG).
Riscos e Recomendações
A Coinkite aconselhou os usuários a realizarem a atualização imediatamente, enfatizando que as seeds anteriores devem ser substituídas antes de qualquer migração de fundos. Relatórios indicam que as perdas confirmadas do exploit do Coldcard chegaram a 1.778 Bitcoin (BTC), totalizando cerca de US$ 112 milhões, tornando-se o terceiro maior exploit de criptomoeda de 2026, conforme dados da DefiLlama.
Novas Medidas de Segurança
A atualização de firmware de 31 de julho já havia corrigido falhas na geração de seeds para novas carteiras. A nova versão, lançada após três semanas de revisão de segurança, também implementa salvaguardas em torno do manuseio de dados USB, assinatura de transações e aleatoriedade de hardware.
Protegendo Contra Ataques
A Coinkite afirmou que a atualização aborda uma teoria de ataque envolvendo a porta USB de um computador comprometido, reverificando transações imediatamente antes da assinatura. Adicionalmente, foram introduzidos novos testes de aleatoriedade de hardware e uma verificação durante o boot para garantir que a carteira esteja usando o caminho de hardware correto.
Ferramentas para Identificação de Seeds Fracas
Outras empresas também estão se mobilizando para oferecer soluções contra a geração de seeds fracas. A Coinspect, uma empresa de segurança blockchain, revelou o Unlukey, uma ferramenta pública gratuita para identificar endereços de carteiras gerados a partir de frases seed vulneráveis. A primeira versão da ferramenta visa reproduzir a geração conhecida de seeds fracas e verificar se os endereços públicos pertencem ao conjunto de dados afetado.
Impacto da Vulnerabilidade
A geração fraca de frases seed foi uma das principais vulnerabilidades que levaram ao exploit do Coldcard. A TRM Labs informou que um bug de firmware de março de 2021 enfraqueceu a aleatoriedade das seeds em algumas carteiras Coldcard, reduzindo a força das chaves de 128 bits para 40 bits, tornando-as “passíveis de força bruta sem acesso físico”.
