Às duas da manhã, a tela do celular de repente iluminou-se — a ferramenta de monitoramento na cadeia enlouqueceu, com 22 registros de transferência a aparecerem instantaneamente. Mais de 40 mil moedas de corrente principal foram transferidas coletivamente, totalizando quase 24 bilhões de dólares.

Mais estranhamente, os direitos de transferência deste lote de ativos não estão nas mãos do detentor original.

O Departamento de Justiça dos EUA obteve as chaves privadas desses endereços, mas não através de métodos tradicionais de ataque de hackers ou phishing, mas sim através de "força bruta" de poder computacional. Sem golpes de engenharia social, sem malware implantado, apenas quebra matemática pura. Esta notícia me deixou completamente alerta.

Depois de estar no meio por oito anos, esta é a primeira vez que me deparo com algo assim. Corri para verificar a situação com amigos técnicos, e depois de muito trabalho até o amanhecer, finalmente entendi a raiz do problema:

Os endereços que tiveram problemas nesta rodada foram criados entre 2020 e 2021 usando versões antigas da carteira. Versões específicas? imToken 2.8.1 e Trust Wallet 5.14 — isso mesmo, são essas duas versões que já saíram de cena. Elas têm um defeito de design mortal: a força do gerador de números aleatórios não é suficiente, com uma entropia que alcança apenas 112 bits.

Pode haver quem ache que 112 bits soa bastante grande. Mas o problema é que a linha de segurança reconhecida pela indústria é de 128 bits, e o padrão de topo é de 256 bits. Quão exagerada é a diferença entre esses dois? Para dar um exemplo: 112 bits é como usar uma senha de 8 dígitos puramente numéricos, enquanto 256 bits é equivalente a 32 caracteres mistos — letras maiúsculas, minúsculas, números e símbolos.

Há uma equipe técnica que testou: alugando poder de computação na nuvem, investindo cerca de 32 mil dólares, é possível percorrer o espaço combinatório da ordem de 2 elevado a 32 em um tempo aceitável. Em outras palavras, esse nível de "proteção" é praticamente inútil diante de equipamentos profissionais.

Este incidente serviu de alerta para todos – não pense que ter os ativos em uma carteira fria garante total segurança. Se as ferramentas subjacentes tiverem defeitos, não importa quão cuidadoso você seja, isso não ajudará. Verifique rapidamente a versão da sua carteira, atualize o que precisa ser atualizado e não hesite em migrar o que for necessário. Afinal, se algo acontecer de verdade, não haverá tempo para arrependimentos.