Criptografia Fraca: O Lado Oculto do Roubo de R$ 30 Milhões

Mais uma vez, a confiança cega em códigos amplamente utilizados cobra um preço altíssimo. Desta vez, não foi um ataque hacker sofisticado, mas uma falha fundamental de geração de números aleatórios que drenou quase US$ 5,7 milhões (cerca de R$ 30 milhões) de carteiras digitais. E o pior: a vulnerabilidade estava escondida há mais de uma década em uma biblioteca criptográfica presente em diversos aplicativos.

A descoberta, revelada pela empresa de segurança Coinspect e noticiada pelo The Hacker News (CryptoJS Weak RNG Behind $5.7 Million in Drains), expõe as entranhas de um problema que vai muito além de carteiras de criptomoedas: a negligência silenciosa com a aleatoriedade real em sistemas críticos. O cerne da questão está na função CryptoJS.lib.WordArray.random(), que fornecia entropia fraca — a base para gerar frases de recuperação (aquelas 12 ou 24 palavras que funcionam como a chave mestra da sua vida digital).

O que a Coinspect descobriu de fato

A investigação da Coinspect, batizada de Ill Bloom, não encontrou um invasor brilhante explorando criptografia de ponta. Encontrou um gerador de números pseudoaleatórios (RNG) que reduzia a imensidão de combinações possíveis a um espaço de busca ridiculamente pequeno. Para entropia de 128 bits, a complexidade caiu para cerca de 2^39; para 256 bits, para 2^47. Em termos práticos, isso significa que um computador comum consegue enumerar todas as frases de recuperação possíveis geradas por aquelas carteiras.

As aplicações afetadas confirmadas são: RRWallet (descontinuada, sem correção), Bexo Wallet (corrigida na versão 20.1.0, mas builds atualizadas ainda não estavam disponíveis nas lojas), NanChat (versões anteriores à 1.3.0, corrigida rapidamente), Bitcoin Libre (corrigida na versão 4, lançada em julho de 2024) e Milo (descontinuada, sem correção). Mas a própria Coinspect alerta: podem existir outras carteiras vulneráveis que não puderam ser examinadas porque foram removidas das lojas ou substituídas por versões corrigidas sem rastro das antigas.

A narrativa oficial versus a realidade obscura

Quando uma falha dessas vem à tona, o script corporativo é previsível: comunicados lamentando o ocorrido, promessas de correção e a velha máxima de que “a segurança é nossa prioridade”. Mas o que as empresas não estão contando é a cadeia de decisões questionáveis que permitiu que essa vulnerabilidade sobrevivesse por 12 anos.

A biblioteca CryptoJS, mantida por Evan Vosberg, chegou a corrigir o problema nas versões 3.2.0 e 3.2.1, utilizando aleatoriedade criptográfica nativa. Porém, na versão 3.3.0, a correção foi revertida por ser considerada uma “mudança quebradora”. Sim, você leu certo: a segurança foi sacrificada em nome da compatibilidade. Somente em fevereiro de 2020, com a versão 4.0.0, a aleatoriedade nativa foi restaurada permanentemente. Quem atualizou um projeto da versão 3.2.x para 3.3.x foi, literalmente, de um estado corrigido para um vulnerável.

Outro ponto incômodo: o fork ferrumnet/bip39 para React Native substituiu a aleatoriedade criptográfica original do bip39 pela função fraca do CryptoJS. Isso demonstra como decisões de desenvolvimento aparentemente inofensivas podem introduzir riscos catastróficos. E as auditorias de segurança? Onde estavam os testes de entropia nas carteiras que utilizavam essa biblioteca? A resposta oficial é um silêncio constrangedor.

O impacto real: dinheiro drenado e identidade exposta

As duas ondas de drenagem identificadas pela Coinspect — uma em 27 de maio (US$ 3,14 milhões de 431 contas) e outra entre 30 de maio e 13 de julho (US$ 2,55 milhões de 522 sementes) — são apenas a ponta do iceberg. O valor total rastreado de US$ 5.690.922 até 13 de julho é descrito como um limite inferior. Milhares de endereços em redes como Bitcoin, Ethereum, Tron, Rootstock e Polygon podem estar comprometidos.

Mas o prejuízo financeiro é só a parte mais visível. A verdadeira dimensão do estrago é a exposição da identidade digital. Uma frase de recuperação não protege apenas criptomoedas; em muitos casos, ela é a raiz de identidades descentralizadas, acesso a dApps e até mesmo a chave para serviços de autenticação. Uma vez que essa frase é descoberta, o invasor não apenas rouba fundos: ele pode sequestrar completamente a persona digital da vítima, assinar transações fraudulentas e acessar informações privadas indefinidamente.

SIM swap: quando a criptografia fraca encontra a engenharia social

E se a frase de recuperação não for o único ponto de falha? O cenário fica ainda mais assustador quando combinamos a fragilidade de carteiras digitais com outra ameaça crescente: o SIM swap, ou clonagem de chip telefônico. Essa técnica, em que criminosos convencem operadoras a transferir sua linha para um chip em posse deles, é a porta de entrada para contornar a autenticação de dois fatores (2FA) baseada em SMS.

Imagine a situação: você gerou sua carteira em um aplicativo vulnerável há anos, sem saber que a entropia era fraca. Hoje, mesmo que tenha migrado para uma carteira segura, a frase antiga ainda pode ser descoberta por força bruta. Se, além disso, um atacante conseguir fazer um SIM swap e assumir seu número de telefone, ele poderá resetar senhas de e-mails, exchanges e outros serviços vinculados àquela identidade. É a tempestade perfeita para um roubo de identidade completo.

Para se proteger do SIM swap, exija da sua operadora um bloqueio adicional por senha ou biometria para qualquer alteração de chip. Prefira aplicativos autenticadores (como Google Authenticator ou Authy) em vez de SMS para 2FA. E, claro, nunca reutilize frases de recuperação antigas. Se você gerou uma carteira entre 2014 e 2020 em algum desses aplicativos, considere-a imediatamente comprometida — mesmo que nunca tenha notado movimentações estranhas.

O que fazer agora: verificação e migração urgentes

A recomendação da Coinspect é cristalina: atualizar o aplicativo não conserta uma frase já gerada. Se sua frase de recuperação veio de uma versão afetada, ela permanece adivinhável onde quer que seja importada, inclusive em carteiras de hardware. A única solução é criar uma nova carteira com um gerador verdadeiramente aleatório (de preferência em um dispositivo offline) e transferir todos os ativos.

A proteção de dados pessoais não pode ser terceirizada. A ferramenta pública da Coinspect permite verificar se um endereço está nos conjuntos de dados já publicados, mas um resultado negativo não garante segurança; significa apenas que ele não foi identificado ainda. A ausência de evidência não é evidência de ausência.

Aproveite para revisar também seus hábitos de segurança digital. Golpes que se aproveitam de situações de desastre mostram como criminosos estão sempre atentos a momentos de vulnerabilidade. No caso das carteiras, a vulnerabilidade é técnica, mas o princípio é o mesmo: o descuido com o básico abre portas para o caos.

Responsabilização e o que as empresas não falam

Até o momento, apenas a NanChat publicou um aviso público claro, orientando usuários a migrarem. A Bexo Wallet, apesar de ter uma correção, ainda não havia disponibilizado os builds atualizados nas lojas oficiais (App Store e Google Play) até a data da revisão. As carteiras descontinuadas simplesmente deixaram os usuários à própria sorte.

É aqui que entra a responsabilização. Empresas que lidam com ativos digitais e frases de recuperação têm o dever fiduciário de garantir a integridade criptográfica de seus produtos. Não basta lançar uma correção e lavar as mãos. É preciso notificar proativamente todos os usuários afetados, oferecer ferramentas de migração assistida e, no mínimo, assumir publicamente a extensão do dano.

O que vemos, porém, é o oposto: silêncio, versões desatualizadas nas lojas e uma cortina de fumaça técnica que joga a culpa no “usuário que não atualizou”. Ora, como atualizar se a atualização não está disponível? Como saber que está em risco se ninguém avisa? A opacidade é cúmplice do crime.

Conclusão: sua identidade digital está sob ataque silencioso

O caso Ill Bloom é um lembrete brutal de que a segurança digital não é um produto, é um processo contínuo. Vulnerabilidades podem permanecer adormecidas por anos, e a confiança em bibliotecas de terceiros precisa ser constantemente verificada. A criptografia fraca não é um problema apenas de desenvolvedores; é um risco direto para qualquer pessoa que dependa de sistemas informatizados para proteger seu patrimônio e sua identidade.

Não espere que a próxima notificação de vazamento chegue ao seu e-mail. Tome as rédeas da sua segurança agora. Visite a Kzarka em https://kzarka.com e descubra se seus dados já foram expostos em vazamentos. Monitore sua identidade digital continuamente e receba alertas antes que os criminosos ajam. Porque, no fim das contas, o verdadeiro custo de um vazamento não se mede apenas em reais — mede-se na perda da sua tranquilidade e do controle sobre sua própria vida digital.