A Coldcard, fabricante de carteiras de hardware para bitcoin (BTC), confirmou que a sua conta oficial no X publicou e depois apagou uma mensagem com um link de phishing na madrugada de 11 de outubro. A empresa afirma que está agora a investigar o incidente e pediu à plataforma que preservasse os registos relevantes.
Num comunicado, a Coldcard reiterou que o seu único site oficial é coldcard.com e pediu aos utilizadores que não interagissem com qualquer link divulgado através da publicação comprometida. A empresa afirmou que mantém uma autenticação de dois fatores offline com acesso estritamente restrito desde 2017, e que uma revisão dos seus sistemas não encontrou registos de acesso ou início de sessão correspondentes à publicação fraudulenta. A Coldcard disse que as suas credenciais e o seu sistema de autenticação de dois fatores offline permanecem seguros.
Apesar desta avaliação, a empresa manifestou preocupação com a possibilidade de o acesso não autorizado ter ocorrido ao nível da plataforma ou administrativo, e não através da sua própria infraestrutura. A Coldcard afirmou estar a par de relatos sobre uma alegada venda de acessos a contas administrativas em mercados da darknet, mas acrescentou que não pode verificar de forma independente qualquer ligação ao seu caso.
Ataque direcionado, questões ao nível da plataforma
A Coldcard descreveu o incidente como um ataque aparentemente direcionado e muito específico, e pediu ao X que realizasse uma investigação imediata através da sua equipa de segurança. A empresa comprometeu-se a partilhar novas atualizações verificadas através da sua conta no X à medida que a revisão progride, alertando os utilizadores para tratarem com suspeita quaisquer publicações ou links inesperados provenientes da conta até que a questão seja resolvida.
Para os utilizadores em toda a Europa que confiam em carteiras de hardware para manter as suas reservas de bitcoin offline, o episódio é um recordatório de que o elo mais fraco na segurança da custódia pode estar fora do próprio dispositivo, nas contas de redes sociais que as empresas usam para comunicar com os clientes. Uma única publicação comprometida, mesmo que removida em poucos minutos, pode ser suficiente para direcionar os utilizadores para um link malicioso, caso estes não verifiquem a fonte de forma independente.
Um histórico de escrutínio
O hardware da Coldcard já tinha sido alvo de escrutínio em matéria de segurança. Uma vulnerabilidade no gerador de números aleatórios utilizado em versões mais recentes do firmware das carteiras Coldcard permitiu anteriormente a atacantes roubar mais de 2.000 BTC em várias ondas de ataques, um caso sem relação com o atual incidente na conta do X, mas que tem mantido as práticas de segurança da empresa sob estreita vigilância por parte da comunidade bitcoin.
A Coldcard não apresentou um prazo para a conclusão da investigação sobre a publicação na conta do X, nem detalhou que eventuais medidas de segurança adicionais pretende introduzir para a sua presença nas redes sociais.
