As carteiras offline, também conhecidas como hardware wallets ou carteiras frias, voltaram ao centro do debate sobre segurança em criptoativos depois de uma sucessão de incidentes envolvendo fabricantes e fornecedores do setor. Embora estes dispositivos sejam considerados uma das formas mais seguras de guardar Bitcoin e outros ativos digitais, casos recentes mostram que os riscos passaram a ir além da ligação à internet.

Em menos de um mês, três episódios envolvendo Coldcard, Trezor e SafePal resultaram no roubo de mais de 110 milhões de dólares em Bitcoin e na exposição de dados pessoais de mais de 53 mil utilizadores, segundo um levantamento da DSec Labs, empresa brasileira especializada em infraestrutura blockchain e segurança de ativos digitais.

A avaliação da empresa é que os criminosos estão a alargar o foco para toda a cadeia da autocustódia. Isto inclui não apenas o dispositivo físico, mas também o software usado para gerar chaves, os fornecedores de logística, os sistemas de encomendas e as informações pessoais de quem compra este tipo de equipamento.

"Durante muito tempo, o mercado concentrou a discussão na diferença entre deixar os ativos numa corretora ou armazená-los numa carteira offline. Os ataques recentes mostram que a análise precisa de ser mais ampla", afirma Guilherme Campos, cofundador e COO da DSec Labs. Segundo ele, a segurança envolve "a geração da chave, o dispositivo, o software, o backup, os fornecedores e até as informações pessoais associadas à compra do equipamento".

O caso mais grave citado pela empresa envolve a Coldcard, carteira física da canadiana Coinkite. Uma falha no processo de geração de frases-semente reduziu a aleatoriedade das chaves em determinados modelos, tornando algumas combinações mais previsíveis. Na prática, isto permitiu que criminosos testassem possíveis chaves até encontrarem endereços com saldo.

A própria Coinkite publicou um alerta a informar que sementes geradas em versões afetadas de firmware poderiam estar em risco caso não tivessem sido criadas com aleatoriedade adicional, como 50 lançamentos privados de dados, e sem uma palavra-passe BIP-39 forte. A empresa afirmou também que modelos mais recentes foram afetados por um nível de entropia inferior ao esperado antes das correções.

Reportagens recentes apontaram perdas que variam conforme a fase da apuração. A CoinDesk noticiou inicialmente um roubo de cerca de 594 BTC, avaliados em aproximadamente 38 milhões de dólares, ligado a uma falha na geração de chaves em carteiras Coldcard. Dias depois, a mesma cobertura relatou que o ataque se tinha alastrado a milhares de endereços, com perdas próximas de 89 milhões de dólares.

Fugas de dados expõem utilizadores a golpes e ameaças físicas

Nos casos da Trezor e da SafePal, o problema não envolveu acesso direto às chaves privadas ou aos fundos dos utilizadores, mas a exposição de dados pessoais. Ainda assim, este tipo de fuga é considerado sensível porque identifica pessoas que compraram carteiras físicas e que, por isso, podem manter criptoativos em autocustódia.

A Trezor informou que uma invasão a um fornecedor de logística expôs dados de clientes, incluindo nomes, e-mails, telefones e endereços de entrega em parte dos casos. Segundo o comunicado da DSec Labs, cerca de 13,7 mil clientes foram afetados.

A empresa afirmou que as carteiras, chaves privadas e fundos dos utilizadores não foram comprometidos. O risco, porém, está no uso dessas informações para tentativas de phishing, falsos contactos de suporte, extorsões ou abordagens presenciais.

A SafePal também confirmou um incidente recente. Segundo a Reuters, a empresa divulgou em agosto uma fuga de dados que afetou 39.798 clientes, com exposição de informações de encomendas, incluindo nomes, endereços e dados de compra. A empresa afirmou que palavras-passe, chaves privadas, frases-semente e fundos não foram comprometidos.

Para a DSec Labs, a preocupação é que estes dados permitam ataques mais personalizados. Com nome, telefone, endereço e modelo adquirido, os criminosos conseguem simular mensagens de atualização obrigatória, recolha de dispositivo, correção de vulnerabilidade ou verificação de segurança. O objetivo costuma ser induzir a vítima a revelar a frase-semente, que dá acesso total à carteira.

"A chave privada não precisa de aparecer diretamente numa fuga de dados para que exista um risco relevante. Quando os dados permitem identificar quem possui uma carteira e onde essa pessoa vive, os criminosos ganham informação suficiente para construir ataques digitais ou físicos muito mais direcionados", diz Toni Farias, CPTO da DSec Labs.

O alerta ganha peso porque casos envolvendo fornecedores e dados de compra não são novidade no setor. Um exemplo lembrado por especialistas é a fuga de dados da Ledger em 2020, quando uma falha de e-commerce expôs cerca de 1 milhão de e-mails e 272 mil endereços físicos, dados que continuaram a ser usados em golpes nos anos seguintes.

Autocustódia exige mais do que guardar a carteira fora da internet

Os incidentes não significam que as carteiras offline tenham deixado de ser uma alternativa segura, mas reforçam que a autocustódia depende de procedimentos mais amplos. A proteção não está apenas em manter o dispositivo desligado da rede, mas também na forma como a chave é gerada, como o backup é armazenado, como o equipamento é comprado e como o utilizador reage a contactos suspeitos.

A DSec Labs afirma que a inteligência artificial pode tornar este cenário mais perigoso, ao permitir que criminosos analisem bases de dados vazadas, cruzem informações pessoais e produzam mensagens mais convincentes em larga escala. Isto não significa que a IA consiga quebrar a criptografia do Bitcoin, mas que pode explorar vulnerabilidades já existentes e tornar os golpes mais difíceis de identificar.

"A inteligência artificial não quebra uma chave corretamente gerada. Ela potencia vulnerabilidades que já existem e torna os ataques mais rápidos, personalizados e difíceis de identificar", afirma Farias.

Como resposta a este cenário, a DSec Labs desenvolveu a ColdKit, uma solução voltada para o armazenamento offline das informações necessárias para controlar uma carteira de Bitcoin. A proposta é reduzir o contacto de dados sensíveis com telemóveis, computadores, aplicações, nuvem e outros ambientes ligados à internet.

A própria empresa, no entanto, afirma que nenhuma solução deve ser tratada como invulnerável. A segurança continua a depender da geração correta das chaves, da proteção física do backup e do comportamento do utilizador.

Entre as recomendações estão acompanhar comunicados oficiais dos fabricantes, nunca partilhar a frase-semente com supostas equipas de suporte, desconfiar de contactos sobre falhas de segurança, evitar armazenar palavras de recuperação em fotos, e-mails ou na nuvem, fazer transações de teste e considerar mecanismos adicionais para valores elevados, como assinaturas múltiplas.

"Os ataques devem continuar a migrar para os pontos menos protegidos da cadeia. À medida que os fabricantes reforçam os dispositivos, os criminosos procuram fornecedores, dados pessoais e o próprio comportamento do utilizador", afirma Leonardo Maximiliano, cofundador e CEO da DSec Labs.

Quer investir na maior criptomoeda do mundo? No MB, começa em poucos cliques e de forma totalmente segura e transparente. Não adie uma carteira promissora e faz mais pelo teu dinheiro. Abre a tua conta e investe em bitcoin agora!