Carteiras offline entram na mira de novos ataques digitais

A seguir: 

1. A segurança de carteiras offline enfrenta riscos que ultrapassam o próprio dispositivo.
2. Incidentes com Coldcard, Trezor e SafePal afetaram fundos ou dados pessoais.
3. Frases-semente, backups e informações de clientes exigem proteção adicional.

Durante anos, investidores enxergaram as carteiras físicas como uma das alternativas mais seguras para armazenar Bitcoin e outros ativos digitais. No entanto, três incidentes registrados em menos de um mês revelaram novos desafios para a segurança de carteiras offline e para todo o ecossistema de autocustódia.

Os episódios envolveram a Coldcard, a Trezor e a SafePal. Juntos, os casos resultaram no roubo de mais de US$ 110 milhões em Bitcoin e na exposição de informações pessoais de mais de 53 mil clientes. Os criminosos não concentraram os ataques apenas nos dispositivos, mas também exploraram softwares e fornecedores.

Segundo a DSec Labs, empresa brasileira especializada em infraestrutura blockchain e segurança de ativos digitais, a autocustódia exige uma visão mais ampla. Manter uma carteira desconectada reduz alguns riscos, porém não impede falhas na geração de chaves, vazamentos de dados ou golpes direcionados ao proprietário.

Segurança de carteiras offline enfrenta novas ameaças

O primeiro incidente atingiu a Coldcard, carteira física fabricada pela canadense Coinkite. Uma falha no software usado por determinados modelos reduziu a aleatoriedade durante a criação das frases-semente, que funcionam como credenciais para recuperar e controlar os ativos.

Com isso, determinadas chaves se tornaram mais previsíveis. Os criminosos testaram possíveis combinações até localizar os endereços corretos. A vulnerabilidade permitiu o roubo de mais de US$ 110 milhões em Bitcoin sem acesso físico aos dispositivos.

A fabricante liberou atualizações para os modelos afetados. Entretanto, instalar uma nova versão do software não corrige uma frase-semente criada anteriormente sob condições vulneráveis. Nesse cenário, o proprietário precisa gerar uma nova chave e transferir os ativos para endereços seguros.

O segundo caso envolveu um fornecedor de logística da Trezor. A invasão expôs informações de aproximadamente 13,7 mil clientes, incluindo nomes, e-mails, telefones e, em algumas situações, endereços usados para receber os equipamentos.

Embora o ataque não tenha comprometido chaves privadas, carteiras ou fundos, os dados permitem abordagens personalizadas. Um criminoso pode, por exemplo, fingir que integra a equipe de suporte e solicitar uma falsa atualização de segurança.

Vazamentos ampliam riscos às carteiras offline

A SafePal também identificou uma falha de autorização em seu sistema de acompanhamento de pedidos. O problema permitiu o acesso indevido aos dados de cerca de 39,8 mil clientes, incluindo nomes, telefones, e-mails, endereços de entrega e informações sobre compras.

Segundo a empresa, o incidente não atingiu senhas, frases-semente, chaves privadas ou fundos. Ainda assim, o conhecimento sobre quem comprou uma carteira física oferece material valioso para golpes de phishing, falsos recolhimentos e contatos fraudulentos.

Essa combinação de informações aumenta o risco financeiro. Quando o criminoso conhece o nome da vítima, seu telefone e o modelo adquirido, ele consegue criar uma mensagem mais convincente. Além disso, o endereço residencial pode facilitar ameaças físicas, roubos e tentativas de extorsão.

Por isso, a segurança de carteiras offline não depende somente do equipamento. Ela também envolve a proteção dos dados pessoais, a procedência do dispositivo, o método usado para gerar as chaves e o armazenamento adequado do backup.

Inteligência artificial potencializa ataques personalizados

A inteligência artificial também pode tornar os golpes mais rápidos e sofisticados. Ferramentas generativas conseguem analisar bases vazadas, cruzar dados, imitar a linguagem de fabricantes e automatizar contatos com milhares de possíveis vítimas.

Além disso, os criminosos podem criar sites falsos, áudios, imagens e vídeos semelhantes aos materiais oficiais. Caso já conheçam o modelo da carteira e os dados do proprietário, eles conseguem construir uma abordagem com maior aparência de legitimidade.

A tecnologia, contudo, não quebra uma chave de Bitcoin criada corretamente. A inteligência artificial amplia vulnerabilidades existentes e acelera ataques contra implementações frágeis, segundo Toni Farias, CPTO da DSec Labs.

Segurança de carteiras offline exige novos cuidados

Diante desse cenário, a DSec Labs desenvolveu a ColdKit, solução voltada ao armazenamento offline das informações necessárias para controlar uma carteira de Bitcoin. A proposta busca reduzir o contato de dados sensíveis com celulares, computadores, nuvens e aplicativos conectados.

Mesmo assim, a companhia destaca que nenhuma solução elimina completamente os riscos. O usuário precisa gerar as chaves corretamente, proteger fisicamente o backup e compreender o funcionamento da autocustódia.

Para reforçar a segurança de carteiras offline, proprietários devem acompanhar os comunicados dos fabricantes, evitar links enviados por contatos desconhecidos e nunca revelar a frase-semente. Equipes legítimas de suporte não precisam dessas palavras para prestar atendimento.

Também convém evitar fotos, e-mails ou cópias na nuvem, verificar cuidadosamente os endereços antes de cada transferência e realizar uma pequena transação de teste. Para valores elevados, mecanismos como múltiplas assinaturas podem adicionar outra camada de proteção.

Os incidentes não indicam o fim das carteiras físicas. Porém, eles mostram que a proteção dos ativos precisa abranger todo o caminho entre a geração da chave, a compra do equipamento, o armazenamento do backup e o comportamento do proprietário.