O executivo da Ledger Ian Rogers afirma que o roubo de US$ 116 milhões em carteiras Coldcard demonstra como a inteligência artificial potencializa falhas de aleatoriedade fraca — e não que carteiras de hardware ou a autocustódia sejam, por definição, inseguras.
Principais pontos:
- Uma falha na geração de seeds em Coldcards reduziu a entropia efetiva para cerca de 40 bits em dispositivos mais antigos e para algo em torno de 72 bits em modelos mais novos afetados.
- A TRM Labs aponta que ondas de ataques iniciadas em 30 de julho drenaram cerca de 1.816 Bitcoin (BTC), equivalentes a quase US$ 116 milhões.
- Rogers sustenta que a IA reduz o custo de encontrar vulnerabilidades, enquanto agentes autônomos criam novos riscos ao obter acesso a credenciais e outros segredos.
Falha em carteiras de Bitcoin
Veículos de mídia relataram em 12 de agosto que Rogers, chief human agency officer da Ledger, rechaçou a leitura de que o incidente revela uma fragilidade estrutural das carteiras de hardware. Segundo ele, o problema central está na baixa qualidade da aleatoriedade e no uso de ferramentas de IA que permitem a atacantes vasculhar sistemas vulneráveis com muito mais eficiência.
A fabricante do Coldcard, Coinkite, informou que um problema de firmware introduzido em 2021 fez com que a geração de seeds passasse a usar um gerador de números pseudorrandômicos baseado em software, em vez do caminho de hardware originalmente previsto. Estimativas preliminares da empresa colocam a entropia efetiva em torno de 40 bits nos dispositivos Mk2 e Mk3 afetados e em cerca de 72 bits nos modelos mais novos também impactados.
A TRM Labs afirma que quatro ondas de ataques drenaram aproximadamente 1.816 BTC de mais de 5.200 endereços, com perdas estimadas em perto de US$ 116 milhões. Já a Ledger ressalta que seus dispositivos geram entropia por meio de um hardware true random number generator embutido em um Secure Element certificado, sem recorrer a fallback em software.
Veja também: XRP rompe abaixo de US$ 1 enquanto “baleias” acumulam 380 milhões de tokens
O alerta de Ian Rogers
Segundo Rogers, a IA está mudando o cenário de ameaças em três frentes: oferece ferramentas muito mais poderosas para descoberta de vulnerabilidades, acelera o desenvolvimento de software e amplia o número de agentes de IA com acesso a sistemas sensíveis.
O terceiro vetor extrapola o universo das carteiras cripto, já que agentes corporativos podem ter acesso a e-mails, credenciais, dados de pagamento e comunicações internas.
Ele comparou o controle de acesso concedido a agentes de IA à decisão de um pai sobre quando entregar as chaves do carro a um adolescente, defendendo que o contexto deve determinar quando um agente pode usar permissões sensíveis. A Ledger está desenvolvendo ferramentas para separar a capacidade de um agente operar uma carteira do controle efetivo das chaves privadas.
“Independentemente de onde seus ativos estejam guardados, você deveria se importar com o nível de segurança que os protege”, disse Rogers à Bloomberg.
A Ledger já havia chamado atenção para problemas de aleatoriedade no passado. Em novembro de 2022, sua equipe de segurança Donjon reportou à Trust Wallet uma falha na extensão de navegador após detectar que a entropia das seeds havia caído para 32 bits.
Leia a seguir: Chefe do Apple Pay, Jennifer Bailey, se aposenta após 25 anos na companhia
