Falha de entropia pode explicar varredura de 594 BTC em Coldcards

A Coinkite, fabricante canadense de hardware wallets, pediu na quinta-feira que donos de Coldcard Mk3 movam seus fundos para outra seed. O aviso cobre quem gerou a chave com firmware 4.0.1, lançado em março de 2021, e versões seguintes até a 5.0.3, a última do Mk3.

O alerta saiu no mesmo dia em que especialistas de segurança analisam uma drenagem coordenada de bitcoin.

## Uma drenagem de 594 BTC

Foram 594,48 BTC retirados de carteiras de assinatura única em uma janela de cerca de 25 minutos. A análise on-chain da AnchorWatch identificou 1.324 saídas não gastas movimentadas em aproximadamente 500 transações dentro de três blocos consecutivos, minerados na madrugada de 30 de julho.

Ao preço de US$ 63.992, o valor drenado soma cerca de US$ 38 milhões.

O fundador da AnchorWatch, Rob Hamilton, disse em análise preliminar que os endereços eram todos de assinatura única e que 562 BTC foram consolidados em um único destino. “À primeira vista, parece entropia falha na geração de carteiras”, escreveu.

Nenhuma evidência pública definitiva liga o problema do Mk3 à drenagem.

A hipótese ganhou corpo com a análise de Kevin Loaec, CEO da Wizardsardine. Ele sugeriu que a raiz do problema poderia estar em um gerador de números aleatórios com entropia insuficiente, embutido em alguma camada da infraestrutura de geração das seeds, tivesse ela vindo de uma biblioteca, de um elemento seguro ou de um lote específico de aparelhos.

Um atacante que conhecesse a falha poderia ter usado um script criado com IA para forçar a entrada nas carteiras, varrendo apenas uma faixa limitada de caminhos de derivação BIP-84.

Isso explicaria a concentração da varredura em endereços SegWit nativos e por que algumas carteiras foram apenas parcialmente drenadas.

O comunicado oficial da Coinkite acrescenta um detalhe que passou batido nas primeiras manchetes. O problema não se restringiu ao Mk3. Seeds geradas em Mk4 e Mk5 com firmware anterior ao 5.6.0, e no Q antes do 1.5.0Q, saíram com menos entropia que o esperado, cerca de 72 bits em vez dos 128 bits padrão. Tapsigner, Opendime e Satscard ficam fora do alerta por usarem outra arquitetura de software.

A empresa orienta quem usou a seed com uma passphrase BIP-39 forte e única a tratar o risco como menor, mas ainda assim migrar.

## O que fazer com uma seed do Mk3

O passo a passo recomendado pela empresa é direto. Primeiro se gera uma seed nova em um aparelho com firmware corrigido, anota o backup e confere na tela se a anotação está correta. Depois se verifica um endereço de recebimento, envia uma transação pequena de teste, confirma que o valor chegou, e então se move o restante dos fundos.

Quem tem o Mk3 como único aparelho pode criar uma seed usando apenas lançamentos de um dado físico honesto e imparcial, com pelo menos 99 rolagens independentes.

O caso começou a circular após um relato no Reddit de um usuário que teve a carteira drenada, colocando a Coinkite no centro da investigação.

A seed dele tinha sido gerada num Mk3 comprado em maio de 2021 e restaurada num Mk4 em janeiro deste ano, o que significa que ela passou por um segundo dispositivo. O relato é autodeclarado e não estabelece, por si só, a conexão entre a Coinkite e a varredura.

O mercado de hardware wallets vive a prova mais dura do seu argumento central. A autocustódia transfere o risco do custodiante para a qualidade do hardware, e uma falha de entropia na geração da seed atinge o elo que ninguém enxerga. Quem esperar a confirmação antes de migrar pode descobrir tarde demais que a aleatoriedade era o elo mais fraco.