Exploit de firmware da Coldcard de US$ 70 milhões: como um bug de entropia de cinco anos drenou 1.082 BTC

Como o Invasor Usou um Serviço de Análise Blockchain

A equipe de Engenharia e Segurança Bitcoin da Block, liderada pelo engenheiro Clay Garrett, identificou que o invasor usou uma conta paga em um conhecido provedor de serviços de blockchain para identificar e consultar eficientemente endereços vulneráveis . O padrão on-chain do invasor — varreduras sequenciais e extraordinariamente rápidas de endereços que compartilhavam a mesma fraqueza — chamou a atenção dos investigadores. A Block confirmou evidências que conectam a atividade do operador diretamente à infraestrutura desse provedor .

A investigação da Block encontrou o que Garrett descreveu como "especificidade extraordinária, até o nível da conta" . O serviço de análise funcionou como uma ferramenta de reconhecimento, permitindo que o invasor mapeasse rapidamente quais endereços foram gerados em firmware vulnerável e priorizasse os alvos mais ricos .

Causa Raiz: Um Único Erro de Macro de Pré-processador

O bug foi introduzido em um commit de firmware em março de 2021 (começando com a versão 4.0.1 do firmware Mk3) durante uma migração para a biblioteca libsecp256k1 do Bitcoin Core . Um erro de macro de configuração de build fez com que o firmware ignorasse o gerador de números aleatórios por hardware (TRNG) STM32 dedicado do dispositivo e, em vez disso, recorresse ao RNG de software determinístico Yasmarang do MicroPython .

A configuração da placa de produção definiu MICROPY_HW_ENABLE_RNG como zero porque a Coldcard tinha um wrapper de RNG de hardware separado. No entanto, a biblioteca libngu falhou ao chamar esse wrapper corretamente: sua condição de guarda (

#ifndef MICROPY_HW_ENABLE_RNG

Isso reduziu a entropia efetiva para aproximadamente 32–40 bits (em vez dos 128+ bits pretendidos), significando que haviam apenas cerca de 4 bilhões de valores de sementes possíveis — trivialmente bruteforcável com hardware moderno . Sementes geradas sem a adição de lançamentos de dados pelo usuário ou uma frase-senha BIP 39 estavam completamente expostas .

O CEO da Coinkite, Rodolfo Novak (NVK), reconheceu o erro posteriormente: "Eu defini explicitamente MICROPY_HW_ENABLE_RNG como zero, pensando que não precisávamos de nenhuma das versões, mas não é isso que ele faz" .

Dispositivos e Firmware Afetados

A Coinkite expandiu posteriormente seu aviso para incluir certas versões de firmware do Mk4, Mk5 e Q após análises adicionais, e lançou atualizações de firmware de emergência para todos os modelos afetados .

Implicações para Usuários Afetados

• Os fundos são irrecuperáveis. O bitcoin roubado foi consolidado e provavelmente está sendo lavado através de serviços de mixagem padrão .
• Mesmo após aplicar a correção de firmware, as sementes antigas permanecem comprometidas. Os usuários devem gerar uma semente totalmente nova no firmware corrigido e transferir todos os fundos para novos endereços .
• Usuários que geraram sementes em um Mk3 entre março de 2021 e julho de 2026 devem tratar essas sementes como queimadas, mesmo que ainda não tenham perdido fundos — suas carteiras permanecem expostas ao mesmo ataque .
• Frases-senha extras ou lançamentos de dados fornecidos pelo usuário mitigaram o bug e protegeram alguns usuários mesmo em firmware vulnerável .

Implicações para o Debate sobre Autocustódia

Este exploit abalou uma das promessas centrais da autocustódia — a de que o elemento seguro de uma carteira de hardware garante segurança criptográfica, independentemente de bugs de software .

• Armazenamento a frio não é infalível. Changpeng Zhao (CZ), fundador da Binance, alertou publicamente que até mesmo carteiras de hardware com air gap podem se tornar inseguras devido a falhas de firmware .
• O debate agora está se voltando para se a autocustódia vale o risco operacional para o investidor médio. Alguns analistas preveem um movimento de volta para custodiantes regulamentados e ETFs de Bitcoin como resultado .
• O bug ficou indetectado em código aberto por mais de cinco anos, mostrando que a transparência do código aberto por si só não garante segurança. Alguns pesquisadores agora argumentam que a auditoria automatizada por IA — em vez da revisão de código apenas humana — é necessária para detectar erros sutis de integração de RNG antes que sejam explorados .
• O incidente também destaca um ponto único de falha: se um fabricante de hardware comete um erro de entropia, toda carteira gerada naquele firmware fica simultaneamente vulnerável — um risco sistêmico que as soluções de custódia parcialmente mitigam através da divisão de chaves e computação multipartidária.

Para uma análise técnica detalhada, veja o relatório de engenharia da Block e o background técnico da Coinkite .