O executivo da Ledger Ian Rogers afirma que o roubo de US$ 116 milhões em carteiras Coldcard evidencia como a inteligência artificial pode potencializar falhas de aleatoriedade fraca — e não que carteiras de hardware ou a autocustódia sejam, por natureza, inseguras.
Principais pontos:
- Uma falha na geração de seeds da Coldcard reduziu a entropia efetiva para cerca de 40 bits em aparelhos mais antigos e para algo em torno de 72 bits em modelos mais novos afetados.
- A TRM Labs diz que ondas de ataques iniciadas em 30 de julho drenaram cerca de 1.816 Bitcoin (BTC), o equivalente a quase US$ 116 milhões.
- Rogers argumenta que a IA reduz o custo de encontrar vulnerabilidades, enquanto agentes autônomos criam novos riscos quando obtêm acesso a credenciais e outros segredos.
Falha em carteira de Bitcoin
A imprensa noticiou em 12 de agosto que Rogers, chief human agency officer da Ledger, descartou a tese de que o incidente revela uma fragilidade estrutural das carteiras de hardware. Para ele, o problema central foi a má qualidade da aleatoriedade e o uso de ferramentas de IA que permitem a invasores rastrear sistemas vulneráveis de forma muito mais eficiente.
A Coinkite, fabricante da Coldcard, afirmou que um problema de firmware introduzido em 2021 fez com que a geração de seeds passasse a usar um gerador de números pseudoaleatórios em software, em vez do caminho de hardware originalmente planejado. Estimativas preliminares da empresa apontam entropia efetiva próxima a 40 bits em dispositivos Mk2 e Mk3 afetados e cerca de 72 bits em modelos mais recentes impactados.
Segundo a TRM Labs, em análise publicada, quatro ondas de ataques drenaram aproximadamente 1.816 BTC de mais de 5.200 endereços, com perdas estimadas em torno de US$ 116 milhões. A Ledger ressalta que seus dispositivos geram entropia por meio de um gerador de números verdadeiramente aleatórios em hardware (TRNG) dentro de um Secure Element certificado, sem recorrer a fallback em software.
Leia também: XRP cai abaixo de US$ 1 enquanto “baleias” acumulam silenciosamente 380 milhões de tokens
O alerta de Ian Rogers
Rogers sustenta que a IA está mudando o cenário de ameaças em três frentes: oferece ferramentas mais poderosas para descoberta de vulnerabilidades, acelera o desenvolvimento de software e amplia o número de agentes de IA com acesso a sistemas sensíveis.
O terceiro vetor vai além das carteiras de cripto: agentes corporativos podem lidar com e-mails, credenciais, dados de pagamento e comunicações internas, ampliando a superfície de ataque.
Ele comparou os controles de acesso para agentes de IA à decisão de um pai sobre quando entregar as chaves do carro a um adolescente, defendendo que o contexto deve determinar quando um agente pode usar permissões sensíveis. A Ledger está desenvolvendo ferramentas que separam a capacidade operacional de um agente dentro de uma carteira do controle efetivo das chaves privadas.
“Independentemente de onde seus ativos estejam guardados, você deve se interessar pelo nível de segurança que está protegendo esses recursos”, disse Rogers à Bloomberg.
A Ledger já havia levantado preocupações semelhantes sobre entropia no passado. Em novembro de 2022, sua equipe de segurança Donjon reportou à Trust Wallet uma falha na extensão de navegador após detectar que a entropia das seeds havia caído para 32 bits.
Próxima leitura: Chefe do Apple Pay, Jennifer Bailey, se aposenta após 25 anos na empresa
