Ledger Afirma que Exploração da Coldcard Mostra que a Segurança de Carteiras de Criptomoedas Precisa se Adaptar à IA

A fabricante de carteiras de hardware Ledger afirma que a recente exploração do Coldcard deve servir como um aviso para a indústria de criptomoedas.

De acordo com o CTO da Ledger, Charles Guillemet, o incidente expôs fraquezas em como alguns dispositivos, neste caso carteiras de hardware de criptomoedas, geram aleatoriedade criptográfica, enquanto mostra como a inteligência artificial está remodelando tanto os ataques cibernéticos quanto as defesas digitais.

"Estamos tratando isso como um lembrete sério de como todo o modelo de segurança de uma carteira de hardware vive ou morre na aleatoriedade", disse Guillemet ao Decrypt. "Criptografia é difícil e implementá-la com segurança é ainda mais difícil. O incidente do Coldcard desta semana tornou isso visível da maneira mais cara possível."

Os comentários vêm enquanto as consequências da exploração do Coldcard continuam a crescer.

Na semana passada, a fabricante do Coldcard, Coinkite, divulgou uma falha na carteira de hardware Bitcoin Coldcard com isolamento de ar que remonta a uma versão de firmware de março de 2021. O bug usava um fallback de software em vez do gerador de números aleatórios de hardware do dispositivo para criar sementes de recuperação de carteira, tornando algumas chaves privadas adivinháveis e permitindo que ladrões roubassem Bitcoin dos usuários.

Até agora, as perdas chegaram a aproximadamente US$ 130 milhões, enquanto outros roubos permanecem sob investigação. No domingo, a Coinkite lançou firmware corrigido e instou os usuários afetados a mover fundos para carteiras recém-geradas.

A Coinkite não respondeu ao pedido de comentário do Decrypt para esta história.

A Ledger disse que suas próprias carteiras de hardware não foram afetadas porque geram frases de recuperação de forma diferente.

"As carteiras de hardware Ledger extraem seu segredo raiz (a Frase de Recuperação Secreta de 24 palavras) de um gerador de números aleatórios de hardware verdadeiro construído diretamente em um Elemento Seguro certificado, sem caminho de fallback de software", disse Guillemet. "Esse gerador produz os 256 bits completos de entropia para cada semente."

Para a Ledger, o incidente levanta questões mais amplas sobre como a segurança das carteiras de hardware é avaliada.

"Código aberto e revisado não são a mesma coisa", disse Guillemet. "Essa falha ficou em código público por mais de cinco anos até que, segundo relatos, um adversário usou IA para encontrá-la, um lembrete de que ser aberto e ser revisado são duas coisas diferentes."

Ele disse que a IA está mudando a cibersegurança ao permitir que atacantes examinem código, procurem erros de configuração e identifiquem vulnerabilidades "em velocidade de máquina".

"Isso significa que a defesa tem que se mover na mesma velocidade", disse ele. "Ela precisa vir de segurança por design, hardware e matemática."

Em maio, um pesquisador de segurança usando Claude Opus 4.8 descobriu uma vulnerabilidade de quatro anos que poderia ter alimentado a cunhagem ilimitada de Zcash, levando a um pânico em grande escala dos investidores e fazendo o Zcash cair mais de 40% em um único dia em resposta.

De acordo com Guillemet, a Ledger diz que passou os últimos dois anos usando IA juntamente com engenheiros de segurança humanos e criptógrafos para revisar código e identificar vulnerabilidades antes que os atacantes possam explorá-las.

"Também não confiamos apenas na nossa própria palavra", explicou ele. "Nosso laboratório de pesquisa Donjon existe para tentar quebrar nossos produtos antes que qualquer outra pessoa possa."

Para mitigar riscos futuros, Guillemet disse que os usuários que avaliam qualquer carteira de hardware devem entender como ela gera aleatoriedade e se esse processo foi certificado de forma independente.

"A aleatoriedade tem que vir da física, não de uma fórmula", disse ele. "Ela tem que ser certificada por pessoas cujo trabalho é tentar quebrar essa afirmação, não apenas declarada pelo fornecedor."