Um fabricante suíço de carteiras de hardware acaba de dar à comunidade Bitcoin uma rara boa notícia de segurança, e o momento não poderia ser mais significativo. A BitBox divulgou e corrigiu uma vulnerabilidade no firmware da BitBox que poderia ter permitido a um invasor enganar usuários para instalar firmware malicioso e drenar seus fundos, mas a empresa afirma que detectou a falha antes que alguém perdesse um único satoshi. A divulgação chega apenas semanas depois de uma falha de firmware de som semelhante na carteira rival Coldcard se transformar em um dos maiores roubos de carteiras de hardware já registrados.
Summary
Principais pontos
- A BitBox corrigiu uma vulnerabilidade grave de firmware que poderia ter permitido a invasores empurrar firmware malicioso e roubar fundos, mas relata que nenhum fundo de usuário foi roubado.
- A falha afetou apenas a edição Multi da carteira BitBox; a edição apenas-Bitcoin não foi afetada.
- Os usuários da BitBox só precisam atualizar seu firmware por meio do BitBoxApp oficial, sem necessidade de migrar fundos para novas carteiras.
- A Coinkite, da Coldcard, enfrentou uma crise muito maior, com um bug de firmware rastreado até março de 2021 sendo responsabilizado por mais de US$ 115 milhões em bitcoin roubado, de acordo com a Galaxy Research.
- Segundo o Decrypt, a BitBox creditou aos testes assistidos por IA o fato de terem revelado as vulnerabilidades antes que pudessem ser exploradas.
BitBox corrige vulnerabilidade grave de firmware
A BitBox afirma que encontrou e corrigiu duas “vulnerabilidades graves” em seu firmware de carteira de hardware antes que invasores pudessem usá-las contra usuários reais. A empresa suíça apresentou os detalhes em um post no blog publicado na terça-feira, explicando exatamente o que deu errado e por que os clientes não devem entrar em pânico.
Detalhes da vulnerabilidade e modelos afetados
Uma das falhas poderia ter permitido que um invasor manipulasse um usuário a instalar firmware adulterado, abrindo a porta para o roubo de fundos. O segundo problema envolvia corrupção de memória que, em teoria, poderia permitir a execução arbitrária de código e a instalação de firmware malicioso, novamente colocando os fundos em risco. Fundamentalmente, a BitBox confirmou que o problema estava ligado à edição Multi de seu dispositivo. A edição apenas-Bitcoin nunca conteve o código afetado, portanto nunca foi exposta a essa vulnerabilidade de firmware da BitBox em particular.
De acordo com o Decrypt, a BitBox apontou os testes de segurança assistidos por IA como o método que ajudou a revelar as falhas, um detalhe que ressalta como os fabricantes de carteiras estão recorrendo cada vez mais a ferramentas automatizadas para caçar bugs antes que criminosos os encontrem.
Orientação aos usuários sobre a atualização de firmware
A BitBox tem sido direta com sua base de clientes: não há evidências de fundos roubados e nenhum motivo para pânico. Ainda assim, a empresa está pedindo que todos os usuários atualizem para a versão mais recente do firmware, que, segundo ela, resolve todos os problemas de segurança descritos na divulgação. O caminho recomendado é simples — atualizar por meio do BitBoxApp oficial, de preferência tocando no aviso dentro do aplicativo em vez de procurar arquivos de atualização em outros lugares, já que isso reduz o risco de instalar uma versão falsa ou maliciosa.
Ao contrário da crise que atingiu os donos de Coldcard, os usuários da BitBox não precisam mover suas moedas para uma nova carteira ou gerar novas frases-semente. Uma atualização de firmware é suficiente. Essa distinção é muito importante para qualquer pessoa que tente avaliar quão seriamente deve encarar essa notícia.
Bug de firmware da Coldcard causa roubo maciço de Bitcoin
O pano de fundo do anúncio da BitBox é uma história muito mais sombria que ainda está se desenrolando no mundo da Coldcard. Um bug de firmware nos dispositivos Coldcard da Coinkite desencadeou geração fraca de sementes, e hackers transformaram essa fraqueza em um dos exploits de carteira de hardware mais caros da história do Bitcoin.
Falha na geração de sementes e cronograma
A raiz do problema remonta à versão de firmware 4.0.1, lançada pela Coinkite em março de 2021. Essa atualização fez com que a geração de sementes em dispositivos Coldcard Mk3 recuasse silenciosamente para um gerador de números pseudoaleatórios de software fraco em vez do gerador de números verdadeiramente aleatórios dedicado de hardware do dispositivo. Segundo o crypto.news, a falha já teria sido sinalizada à Coinkite por pesquisadores no passado, o que significa que algumas sementes afetadas podem ter ficado expostas por anos antes que alguém agisse.
A aleatoriedade fraca na geração de sementes é um problema sério porque reduz o intervalo de possíveis chaves privadas que um invasor precisa adivinhar. A Galaxy Research relatou que a exploração em si foi rápida: em 30 de julho, invasores drenaram cerca de 1.083 BTC de mais de 1.000 endereços em apenas 41 minutos, com ondas adicionais de transferências seguindo à medida que o incidente se desenrolava até meados de agosto.
Impacto e alertas oficiais
A Coinkite primeiro alertou os usuários da Coldcard em 31 de julho de que o bug permitia que hackers essencialmente adivinhassem as frases-semente dos investidores. As primeiras estimativas do crypto.news colocavam os fundos roubados em cerca de US$ 112 milhões, e esse número continuou subindo à medida que mais dispositivos afetados vinham à tona. De acordo com números mais recentes da Galaxy Research citados pela Bitcoin Magazine, o total confirmado desde então ultrapassou US$ 115 milhões em bitcoin roubado — e o número real ainda pode ser maior à medida que a investigação continua.
Ao contrário da correção da BitBox, uma atualização de firmware por si só não protege os usuários da Coldcard cujas sementes já foram geradas sob o sistema com falha. A Coinkite e outros bitcoiners têm instado os usuários afetados a mover seus fundos para novas carteiras imediatamente, em vez de simplesmente aplicar o patch e continuar usando a mesma frase-semente.
Comparando riscos e respostas de segurança em carteiras de hardware
Lado a lado, esses dois incidentes mostram como uma falha de firmware pode se desenrolar de forma muito diferente dependendo de quando é detectada e de como é tratada. Por que essa comparação importa? Porque ela traça uma linha clara entre um quase-acidente e uma catástrofe real no mundo da autocustódia.
Diferenças no escopo das vulnerabilidades e nas correções
A falha da BitBox era séria na teoria — instalação de firmware controlado por invasor e corrupção de memória não são bugs menores — mas foi descoberta e corrigida antes da exploração, e nunca tocou o próprio processo de geração de sementes. O bug da Coldcard, em contraste, corrompeu a aleatoriedade por trás da criação de sementes por anos antes que alguém estancasse o sangramento, razão pela qual a remediação exigiu migração completa de fundos em vez de uma simples atualização de software.
Implicações para a segurança do Bitcoin e a autocustódia
Para detentores comuns de Bitcoin, a lição não é que carteiras de hardware são inseguras — é que a integridade do firmware agora é tão importante quanto a segurança física do próprio dispositivo. Um bug de semente da Coldcard que ficou sem ser detectado desde 2021 mostra como uma única linha de código negligenciada pode eventualmente se traduzir em perdas de nove dígitos, enquanto a detecção rápida da BitBox mostra que a mesma categoria de risco pode ser neutralizada antes de custar qualquer coisa aos usuários. Ambos os casos apontam para a mesma verdade mais ampla: a segurança de carteiras de hardware depende cada vez mais da rapidez com que um fabricante consegue encontrar e corrigir problemas de firmware, não apenas da criptografia embutida no chip.
Esse contraste provavelmente moldará a forma como o mercado trata os fabricantes de carteiras daqui para frente, com velocidade de resposta e transparência tornando-se tão importantes para os compradores quanto as próprias especificações de hardware.
Perguntas frequentes
Que vulnerabilidade foi encontrada na carteira de hardware BitBox?
A BitBox descobriu vulnerabilidades graves de firmware em sua edição Multi que poderiam permitir a instalação de firmware malicioso levando ao roubo de fundos.
Os usuários da BitBox precisam migrar fundos após a vulnerabilidade?
Não, os usuários só precisam atualizar seu firmware por meio do BitBoxApp oficial; a migração de fundos não é necessária.
O que aconteceu com a vulnerabilidade da carteira de hardware Coldcard?
Um bug de firmware na Coldcard a partir da versão 4.0.1 causou geração fraca de sementes, permitindo que hackers roubassem mais de US$ 115 milhões em bitcoin.
Que conselho a Coinkite deu aos usuários da Coldcard?
A Coinkite aconselhou os usuários da Coldcard a moverem imediatamente seus fundos devido à vulnerabilidade na geração de sementes.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Que vulnerabilidade foi encontrada na carteira de hardware BitBox?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A BitBox descobriu vulnerabilidades graves de firmware em sua edição Multi que poderiam permitir a instalação de firmware malicioso levando ao roubo de fundos.”}},{“@type”:”Question”,”name”:”Os usuários da BitBox precisam migrar fundos após a vulnerabilidade?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Não, os usuários só precisam atualizar seu firmware por meio do BitBoxApp oficial; a migração de fundos não é necessária.”}},{“@type”:”Question”,”name”:”O que aconteceu com a vulnerabilidade da carteira de hardware Coldcard?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Um bug de firmware na Coldcard a partir da versão 4.0.1 causou geração fraca de sementes, permitindo que hackers roubassem mais de US$ 115 milhões em bitcoin.”}},{“@type”:”Question”,”name”:”Que conselho a Coinkite deu aos usuários da Coldcard?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A Coinkite aconselhou os usuários da Coldcard a moverem imediatamente seus fundos devido à vulnerabilidade na geração de sementes.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
