O hack do Coldcard prova que a reputação não é um modelo de segurança

Ninguém pode medir o quanto a pressão de licenciamento moldou o escopo ou a velocidade dessa reescrita, e a revisão também buscou objetivos técnicos legítimos. Os fatos documentados são mais restritos e ainda contundentes: uma mudança de licença feita para restringir os concorrentes precedeu uma substituição apressada do código criptográfico testado em batalha, e a substituição continha a falha que agora esgota as carteiras. Os princípios de software livre e de código aberto existem precisamente para evitar que a segurança dependa das escolhas de qualquer empresa. Esses princípios não podem vir acompanhados de uma exceção de personalidade.

Zach Herbert é cofundador e CEO da Fundação.

Os pesquisadores aprenderam a não olhar

O fracasso mais profundo foi o que aconteceu com as pessoas que olharam. Em agosto de 2020, pesquisadores da Shift Crypto e Nunchuk divulgado uma falha de verificação multisig no Coldcard. Coinkite reconheceu o bug e enviou uma correção, e NVK, no podcast Citadel Dispatch marca simultânea a divulgação “terrorismo PR” e questionou se um pesquisador sem CVE contava como profissional. Em 2023, quando o projeto WalletScrutiny relatou problemas na reprodução de versões mais antigas do Coldcard, o resposta rotulou o projeto como incompetente ou malicioso e litígio flutuante. Acompanhamento independente posterior encontrou problemas genuínos de reprodução em versões mais antigas e concluiu que ninguém agiu de má fé.

Cada ataque público a um pesquisador muda a matemática do próximo. A revisão independente é lenta, difícil e geralmente não remunerada. Um pesquisador que avalia meses desse trabalho contra a perspectiva de ridículo, listas de bloqueio e ameaças legais muitas vezes gastará seu tempo em outro lugar. Ninguém pode provar que esta cultura fez com que o bug da entropia passasse despercebido. O que pode ser dito com segurança é que a segurança depende da disposição das pessoas em olhar, e o ambiente em torno do Coldcard é punido por olhar.