Postar

Carteiras frias também não são seguras: vulnerabilidade no firmware da Coldcard, ataque à cadeia de suprimentos da Ledger — seu BTC realmente pertence a você? Você gastou 1000 para comprar uma carteira fria, achando que seus ativos estão totalmente seguros. Em um ano, dois incidentes mostram que a carteira fria também pode ser uma bomba-relógio. A primeira bomba: Coldcard, você nem tocou no dispositivo, e o dinheiro sumiu. Em março de 2021, o fabricante canadense de carteiras de hardware Coinkite introduziu uma falha fatal no firmware da Coldcard: ao gerar a frase mnemônica, o dispositivo não usou o chip de número aleatório de hardware verdadeiro, mas sim um gerador de números pseudoaleatórios por software. Em termos simples — o que você achava que era "aleatório" na verdade não era. O atacante não precisa tocar no seu dispositivo, nem mesmo você estar online, ele pode matematicamente calcular em massa sua frase mnemônica. O primeiro ataque ocorreu em 30 de julho de 2026. Em 25 minutos, cerca de 594 BTC desapareceram de 500 endereços. Isso foi só o começo. Depois vieram pelo menos três ondas de ataques, e no total mais de 1.816 BTC foram transferidos de mais de 5.200 endereços, com perdas estimadas entre 114 e 116 milhões de dólares. Um usuário disse que sua Coldcard nunca foi conectada à internet, a frase mnemônica nunca foi vazada, mas os ativos ainda foram roubados. A resposta oficial da Coinkite foi apenas uma frase: todas as frases mnemônicas geradas desde março de 2021 devem ser consideradas possivelmente comprometidas. Atualizar o firmware não adianta — as frases já geradas nunca serão seguras, você deve criar uma nova frase e transferir os ativos. A segunda bomba: Ledger, o dispositivo que você comprou do revendedor pode ter sido adulterado. Em 9 de outubro, usuários da Ledger sofreram um grande roubo, com perdas superiores a 86 milhões de dólares, envolvendo Ethereum, TRON, Bitcoin e centenas de carteiras em várias blockchains. As vítimas tinham uma característica em comum: todas compraram os dispositivos do revendedor CryptoBilis no Sudeste Asiático. O ex-CEO da Mt. Gox, Mark Karpelès, abriu um Ledger vindo da Malásia e encontrou uma placa de circuito extra dentro do dispositivo, com módulo LTE e eSIM. Essa placa pode ler os sinais enviados para a tela, interceptar a frase mnemônica durante a inicialização do dispositivo e enviá-la pela rede móvel. Você pensa que é um "revendedor autorizado oficial", mas o dispositivo foi desmontado, modificado e adulterado desde o momento em que saiu da fábrica. O sinal mais doloroso é: toda a suposição de segurança da infraestrutura DeFi está sendo derrubada uma a uma. Balancer foi roubado em 128 milhões de dólares, Kelp DAO em 292 milhões, o dólar sintético xUSD da Stream Finance perdeu a paridade, e o valor total bloqueado da Aave caiu de 26 bilhões para 14,2 bilhões em 5 dias. De protocolos de empréstimo a dólares sintéticos, de exchanges a carteiras de hardware pessoais — cada etapa que você achava "segura" teve problemas neste ano. O que você deve fazer? Três coisas, faça hoje. Primeiro, compre carteiras de hardware por canais oficiais. Não caia na tentação de comprar de revendedores, não compre de terceiros. O incidente da Ledger já mostrou que o ataque à cadeia de suprimentos está escondido atrás das palavras "revendedor autorizado". Segundo, usuários da Coldcard devem verificar imediatamente. Se você gerou uma frase mnemônica na Coldcard após março de 2021, crie uma nova carteira hoje e transfira seus ativos. A frase antiga nunca será segura. Terceiro, use multisig para grandes ativos. Carteiras de assinatura única são o principal alvo do ataque à Coldcard. Use uma multisig 2-de-3 com Trezor Safe 7, Ledger Nano e Casa recovery keys; se qualquer dispositivo falhar, seus ativos ainda estarão seguros. Não coloque todos os ovos na mesma cesta — e nunca entregue sua chave privada a um único dispositivo. 1011 nos ensinou que alavancagem pode matar. Este ano nos ensinou — até mesmo carteiras frias podem te trair. Neste mercado, o único inimigo da segurança é a sua sorte. $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入