A recente falha de geração de seed da Coldcard, que passou despercebida por cinco anos, trouxe à tona uma questão crítica sobre a forma como as carteiras de hardware são testadas de forma independente. Nick Percoco, chefe de segurança da Kraken, destacou que esse incidente deve servir como um ‘alerta’ para os fabricantes de carteiras de hardware, enfatizando a necessidade de testes independentes para garantir que a fonte de aleatoriedade aprovada é realmente a utilizada pelo firmware de produção.
Os consumidores são solicitados a confiar na implementação de um fabricante para a função mais crítica do sistema, sem qualquer verificação independente de que o caminho de entropia aprovado é o que está realmente em execução. Essa falha permitiu que mais de 4.500 endereços fossem afetados, resultando em quase $90 milhões em Bitcoin drenados.
A Coinkite revelou que a falha de software existe desde março de 2021, quando a Coldcard alterou seu processo de geração de seed ao integrar uma nova biblioteca criptográfica. Essa migração redirecionou inadvertidamente a criação de carteiras para um gerador MicroPython mais fraco, em vez do gerador de números verdadeiramente aleatórios (TRNG) pretendido.
Percoco ressaltou que, enquanto a indústria de segurança já possui padrões rigorosos para a validação de geradores de números aleatórios, as carteiras de hardware não têm um processo equivalente. Ele comparou a situação com a indústria de pagamentos, que não permite que dispositivos de entrada de PIN sejam enviados sem testes independentes em laboratório.
A Coldcard anunciou que suspendeu todos os envios de dispositivos desde a confirmação da vulnerabilidade e destruiu todas as unidades restantes com o firmware afetado. No entanto, a Coinkite aconselhou os usuários a não descartarem os dispositivos afetados, pois eles podem se tornar essenciais se os fundos forem recuperados.
