Além do isolamento da chave privada

28/08/2026 mindsecblog Artigos, Notícias 0

Além do isolamento da chave privada: CertiK descobre grave vulnerabilidade de gravação fora dos limites em carteira de hardware BitBox

A CertiK, identificou uma vulnerabilidade de gravação fora dos limites (out-of-bounds write, OOB na sigla em inglês) na carteira de hardware BitBox02. A BitBox divulgou publicamente e corrigiu o problema em sua atualização de segurança Oeschinen, lançada em julho, atribuindo a descoberta ao pesquisador da CertiK Guanxing Wen.

A descoberta não diminui a importância do isolamento da chave privada. Ela mostra que, sempre que um dispositivo processa comandos externos, o firmware, os protocolos de comunicação e os fluxos de confirmação que cercam a chave privada também fazem parte do perímetro de segurança. A segurança de uma carteira de hardware envolve tanto manter as chaves no dispositivo quanto garantir que todos os caminhos que levam à geração de uma assinatura sejam capazes de resistir a entradas não confiáveis.

O ponto cego para além do isolamento da chave privada

O principal valor de uma carteira de hardware está no isolamento físico: as chaves privadas permanecem em um dispositivo dedicado, em vez de ficarem diretamente expostas a um computador ou celular conectado à internet. No entanto, toda transação começa fora da carteira. O dispositivo ainda precisa receber comandos, interpretar dados, exibir os detalhes para confirmação e, por fim, produzir uma assinatura.

O problema identificado pela CertiK está localizado nesse caminho de interação entre a carteira BitBox02 e o computador ou celular conectado a ela. Ao receber determinados comandos pela conexão USB, a carteira não verificava corretamente o tamanho dos dados enviados. Com isso, um dispositivo comprometido poderia enviar informações em excesso, invadir outras áreas da memória e interferir no funcionamento da carteira.

Por definição, um computador ou celular conectado deve ser tratado como uma possível fonte de entradas não confiáveis. Isso significa que a carteira precisa processar com segurança todos os comandos partindo dessa premissa. Mesmo quando a chave privada nunca deixa o dispositivo, um invasor pode tentar influenciar a forma como ele interpreta as entradas, exibe os detalhes da transação ou processa os fluxos de atualização e autorização.

As questões relevantes incluem não apenas se a chave privada está isolada, mas também se entradas malformadas, atualizações de firmware, informações exibidas no dispositivo e a assinatura final permanecem consistentemente vinculadas à mesma intenção da transação. Quando um usuário confirma uma operação, o dispositivo assinará somente aquilo que ele compreendeu e autorizou?

Um perímetro de confiança que vai além da chave privada

Esse tipo de problema de baixo nível não é exclusivo de um único produto. Em 2026, a Ledger publicou um boletim de segurança sobre uma vulnerabilidade identificada e reportada pelo pesquisador da CertiK Guanxing Wen por meio do programa de recompensas por vulnerabilidades da empresa. Posteriormente catalogado como CVE-2025-15645, o problema afetava o processo de atualização do firmware do microcontrolador (MCU): o bootloader não validava adequadamente um endereço reset_handler fornecido pelo dispositivo hospedeiro. A Ledger corrigiu a vulnerabilidade e afirmou que os fundos dos usuários nunca estiveram em risco.

As duas descobertas ocorreram em produtos e componentes diferentes: uma envolvia uma solicitação de comunicação entre o dispositivo hospedeiro e a carteira; a outra, o caminho de inicialização de uma atualização de firmware. Ainda assim, ambas apontam para a mesma realidade frequentemente negligenciada: a base de confiança de uma carteira de hardware inclui tanto o chip que armazena a chave privada quanto todos os componentes capazes de receber, interpretar ou afetar o comportamento do dispositivo.

O comprometimento de carteiras é uma ameaça de alto custo

A necessidade de examinar esses perímetros de baixo nível também reflete as transformações no cenário de ameaças aos ativos digitais. O relatório Hack3D H1 2026 da CertiK registrou 344 incidentes de segurança na Web3 e mais de US$ 1,31 bilhão em perdas durante o primeiro semestre de 2026. O comprometimento de carteiras foi a categoria de ataque com maior impacto financeiro, respondendo por mais de US$ 444 milhões em perdas distribuídas por 33 incidentes.

Os números mostram que, à medida que ativos, permissões e autorizações de transações se concentram nas carteiras e nos sistemas relacionados a elas, os invasores continuarão procurando caminhos que vão além da chave privada, incluindo aplicações, APIs, serviços de atualização, comunicações com dispositivos e fluxos de confirmação dos usuários.

De um único dispositivo para todo o ambiente de assinatura

A descoberta relacionada à BitBox e o problema anterior no processo de atualização de firmware demonstram como a pesquisa sobre carteiras de hardware pode abranger tanto a camada de comunicação quanto a cadeia de inicialização. Uma carteira de hardware opera dentro de um ambiente de assinatura mais amplo, que inclui aplicações hospedeiras, serviços de criação de transações, APIs de backend, controles de acesso, mecanismos de atualização e processos de recuperação.

A análise isolada de uma aplicação, contrato inteligente ou componente específico do dispositivo pode não revelar de que forma uma entrada externa é capaz de influenciar a assinatura final. Uma avaliação efetiva precisa acompanhar todo o caminho percorrido pela transação, passando pela comunicação entre o dispositivo hospedeiro e a carteira, pelo firmware, pela lógica do bootloader e pela confirmação no próprio dispositivo. Em cada camada, é necessário verificar se a intenção da transação, as restrições das políticas e a aprovação do usuário permanecem preservadas.

Para os usuários, manter o firmware atualizado, obter os aplicativos complementares somente em canais oficiais e verificar no próprio dispositivo os detalhes das transações continuam sendo práticas essenciais. Para o setor, a conclusão prática é mais ampla: as análises de segurança devem ultrapassar os limites de uma única base de código e examinar todo o caminho entre aplicações, APIs e infraestrutura, incluindo firmware, processos de inicialização e interação com os dispositivos.

Sobre a CertiK

A CertiK é a maior provedora de serviços de segurança para Web3, com sede em Nova York. Desde sua fundação, em 2017, a empresa se consolidou como uma parceira confiável em gestão de riscos para órgãos reguladores, instituições e empresas inovadoras do ecossistema Web3 em todo o mundo.