Coinkite, a empresa canadense responsável pela carteira de hardware Coldcard, tem lançou novo firmware semanas após divulgar a falha que permitiu aos atacantes drenar mais de US$ 114 milhões de detentores de bitcoin.
A empresa afirmou que a revisão realizada contou com assistência de IA, citando Kimi e outros modelos de ponta entre as ferramentas utilizadas para examinar não apenas o código defeituoso de aleatoriedade, mas todo o sistema.
Essa revisão identificou problemas não relacionados ao bug original na forma como as transações são aprovadas, como os dados são tratados via USB e como as atualizações de firmware são validadas.
Instalar a atualização não torna uma carteira comprometida existente segura. Qualquer pessoa cuja seed, ou a chave mestre que controla as moedas de uma carteira, tenha sido criada em um firmware afetado entre 2021 e julho de 2026 ainda precisa gerar uma nova e transferir seu dinheiro para ela.
As novas sementes agora funcionam de forma diferente. Cada uma requer que o proprietário forneça a aleatoriedade manualmente, seja por meio de 65 pressionamentos de tecla em intervalos imprevisíveis, 50 lançamentos de um dado de seis faces ou 128 lançamentos de moeda.
A aleatoriedade física é utilizada porque um dado ou uma moeda produzem resultados que nenhum software pode prever, enquanto a falha que causou o roubo estava no dispositivo que gera aleatoriedade por conta própria, conforme o CoinDesk explicou anteriormente.
Por baixo, a Coinkite substituiu inteiramente o gerador de números aleatórios de backup, trocando um algoritmo chamado Yasmarang por um baseado em SHA-256, a função de hash que o próprio bitcoin utiliza.
O dispositivo agora verifica novamente uma transação imediatamente antes de assiná-la, de modo que um computador comprometido na porta USB não pode alterar um pagamento após o proprietário tê-lo aprovado na tela. Os modos de assinatura que permitem que partes de uma transação permaneçam editáveis após a assinatura agora estão bloqueados por padrão.
As autoridades continuam investigando os roubos e trabalhando para identificar os responsáveis, disse a empresa, que permanece disponível para oferecer assistência.
A Coinkite está solicitando aos proprietários de seus dispositivos Mk4 e Mk5 que instalem a versão 5.6.1, e aos proprietários do modelo mais recente Q que instalem a 1.5.1Q, exclusivamente a partir da sua página oficial de downloads. A empresa também lançou uma página pública de status que lista quais versões foram corrigidas e quais passos de migração são aplicáveis.
Como a IA está ajudando a detectar falhas
Coldcard é a quinta empresa de bitcoin ou cripto em três semanas a declarar publicamente que a IA mudou a forma como o trabalho de segurança é realizado.
BTCPay Server, software gratuito que os comerciantes utilizam de forma autônoma para aceitar pagamentos em bitcoin, foi impactado este mês quando atacantes drenaram os nós Lightning pertencentes aos seus usuários por meio de uma falha que acabara de ser corrigida. O projeto está oferecendo uma recompensa de até 3 BTC pelo retorno do dinheiro e pagou 0,42 BTC aos pesquisadores que encontraram a falha, além de orientar os comerciantes a manterem fundos em armazenamento frio e a transferirem o excesso regularmente para fora das carteiras quentes, “especialmente durante este período de rápida mudança impulsionada por IA.”
Dezenas de empresas de bitcoin, incluindo Coinbase, Block, BitGo e Blockstream, assinaram uma carta aberta em 10 de agosto, assim como CoinDesk reportou, solicitando que os laboratórios de IA concedam aos pesquisadores de segurança de código aberto acesso antecipado aos seus modelos mais avançados.
Um esforço voluntário tem sido o mais visível dos três. O chamado Bitcoin Red Team, um coletivo de dezesseis desenvolvedores trabalhando em fusos horários diferentes, registrou 4.962 constatações contra 390 projetos em suas primeiras 24 horas, incluindo 85 problemas críticos e 635 de alta gravidade, e produziu o relatório por trás da correção da BTCPay.
A exchange de criptomoedas Bybit, que perdeu cerca de US$ 1,46 bilhão para o Grupo Lazarus da Coreia do Norte em fevereiro de 2025, disse esta semana que a auditoria assistida por IA encontrou falhas de alta gravidade em uma taxa de três a cinco vezes maior do que a revisão manual, e ajudou a bloquear retiradas suspeitas no valor colossal de US$ 700 milhões ao longo do primeiro semestre do ano.
