O ataque de hackers a cartões de crédito expôs as armadilhas do "modelo de segurança de reputação"

Atacantes exploraram uma falha de entropia no firmware do Coldcard para roubar aproximadamente 114 milhões de dólares em Bitcoin de mais de 709 endereços. A primeira onda de ataques esvaziou cerca de 500 carteiras em apenas 25 minutos. A falha central reside no fato de que, ao gerar as chaves das carteiras, não foi garantida uma aleatoriedade suficiente. O código problemático foi introduzido em março de 2021 e permaneceu exposto em um repositório de código aberto por mais de cinco anos. Jack Herbert, cofundador e CEO da Foundation, afirma que este incidente tem um significado que vai além de um simples erro técnico. Ele chama a atenção para o histórico de alterações de licença do Coldcard. Em 2020, quando uma empresa concorrente anunciou o desenvolvimento de um dispositivo baseado em código GPL, o CEO da Coinkite, Rodolfo Novak (NVK), publicou um tweet (posteriormente removido) expressando arrependimento por ter escolhido a licença GPL. No mesmo ano, em novembro, o Coldcard adotou uma nova licença que incluía a cláusula Commons Clause, e o próprio FAQ oficial dessa licença afirma que "o resultado não é mais de código aberto". Uma grande reescrita de código se seguiu, e o commit que removeu o código GPL pela última vez, em março de 2021, é o mesmo commit que danificou a funcionalidade de geração de sementes. Herbert reconhece que não é possível medir com precisão o impacto da pressão por licenciamento no escopo ou na velocidade da reescrita, mas enfatiza que é inegável o fato de que "o código de criptografia validado foi substituído rapidamente após uma alteração de licença com o objetivo de restringir a concorrência, e essa substituição continha falhas". Os princípios do software livre e de código aberto existem para garantir que a segurança não dependa das escolhas de uma empresa específica. Uma cultura hostil em relação aos pesquisadores de segurança também é apontada como uma causa fundamental. Em agosto de 2020, quando os pesquisadores da Shift Crypto e da Nunchuk revelaram uma falha na validação de multisign do Coldcard, a NVK classificou essa divulgação como "terrorismo de relações públicas" no podcast Citadel Dispatch. Em 2023, quando o projeto WalletScrutiny relatou problemas na reprodução de versões antigas, a empresa também os rotulou como incompetentes e mal-intencionados, chegando a mencionar a possibilidade de um processo judicial. Posteriormente, uma investigação independente confirmou que os problemas na versão antiga realmente existiam e concluiu que os pesquisadores não tinham más intenções. Esses ataques aos pesquisadores alteraram o cálculo de risco para quem estivesse disposto a assumir as consequências, resultando, em última análise, em uma redução das oportunidades para que alguém descobrisse bugs. Herbert chama esse fenômeno de "captura epistemológica". A mesma alegação, repetida através do mesmo podcast e dos mesmos canais, passou a ser percebida como um fato comprovado, e a comunidade gradualmente terceirizou seu próprio julgamento para uma única figura de autoridade. O apresentador do BTC Sessions, Ben Perrin, recentemente admitiu em uma transmissão ao vivo: "Toleramos esse comportamento arrogante porque presumimos que essa arrogância vinha acompanhada de uma capacidade excepcional de criar produtos.". Herbert enfatiza que a prioridade imediata deve ser a divulgação de um guia de migração para os usuários afetados, e ressalta a importância de esclarecer que as chaves geradas a partir de versões vulneráveis não podem ser recuperadas por meio de atualizações de firmware. Além disso, ele defende que é necessário corrigir o conteúdo recomendado que não foi devidamente validado no passado, e que os pesquisadores que foram atacados devem ter a oportunidade de se manifestar. Ele conclui o texto com a frase: "Verifique, não confie no fornecedor, nem nos críticos do fornecedor, verifique.".