Joe “Kingpin” Grand é um engenheiro elétrico que ficou famoso na comunidade por invadir carteiras de hardware para recuperar saldos perdidos. Fonte: Joe Grande/YouTube.
Joe Grand, também conhecido como Kingpin, ganhou notoriedade na comunidade de criptomoedas em 2022 ao ajudar um investidor a recuperar R$ 10 milhões de uma carteira Trezor cuja senha havia sido perdida.
O especialista em hardware retornou ao YouTube nesta segunda-feira (16) com um novo vídeo digno de uma série de streaming.
Relatando sua ansiedade em ajudar outras pessoas que entraram em contato após seu primeiro vídeo viral, Kingpin agora compartilha diversos novos casos de recuperação que podem chegar a uma soma de US$ 75 milhões em Bitcoin e outras criptomoedas.
“Nos últimos três anos, eu refinei meus métodos”, inicia Kingpin. “Dezenas de pessoas, dezenas de histórias, cada carteira selada por um PIN esquecido ou uma frase de recuperação.”
“Os últimos anos basicamente foram de noites mal dormidas. […] No fim, conseguimos desenvolver um ataque que funciona para qualquer dispositivo desse tipo, o STM32F2 que está na Trezor One, ou qualquer chip dessa linha. Existem bilhões desses dispositivos espalhados pelo mundo. O ataque que desenvolvi pode ser aplicado em qualquer um deles.”
Conforme a vulnerabilidade é física, ela não pode ser corrigida com uma simples atualização de software, tornando o método de Grand eficaz mesmo em dispositivos atualizados.
Com um carisma inigualável, Joe Grand conversa com uma investidora chamada Shanna que afirma ter perdido US$ 800.000 em uma carteira Trezor que parecia não estar funcionando.
“Literalmente, eu passei por um divórcio. Ele ficou com a metade dele. Fiquei com a minha metade”, conta a investidora, comentando ter ficado com uma carteira de hardware.
Ao conectar a carteira ao seu computador, Grand descobre que os dados foram apagados.
“Um dia, eu estava meio que mexendo por aí. Pensei: “Talvez, se eu realmente atualizar o firmware, vai funcionar.” E não é que funcionou? Como se tivesse voltado à vida num passe de mágica”, relata o hacker.
“Então, aquele projeto que a gente meio que achava que não ia dar certo, virou um daqueles: “Nossa, funciona!” Só que agora ele tinha a versão mais recente do firmware, com os dados armazenados numa área um pouco mais difícil de acessar.”
“O chip foi transplantado para a nossa placa, que então vai para a minha plataforma personalizada que faz a injeção de falhas.”
“Esse ataque agora tem três etapas. Primeiro, eu preciso reduzir o nível de segurança. É tipo passar pelo segurança de um banco.”
“Em um determinado momento, enquanto o chip está rodando, eu provoco uma falha. Faço ele dar uma espécie de “engasgada” de um jeito que consigo controlar para burlar a segurança”, explica Grand. “No projeto com o Dan, eu estava usando injeção de falha por voltagem. Agora estou usando algo chamado injeção de falha eletromagnética.”
Após horas de trabalho, Grand mostra que conseguiu passar pelo primeiro nível de segurança.
Para o segundo passo, o hacker afirma ser necessário extrair os dados criptografados do dispositivo. “Isso é como conseguir acesso ao cofre”, explica Grand.
Para isso, Kingpin explorou uma falha no bootloader STM32, padrão em carteiras Trezor One.
“Um código fixo que existe dentro de todo microcontrolador desse tipo, que tem uma lista de comandos que você pode enviar ao chip para executar diferentes funções. Uma das funções do bootloader é um comando de leitura, e esse comando permite ler o conteúdo da memória do chip.”
Embora pareça fácil vendo Kingpin trabalhar com toda sua experiência e equipamentos dedicados, o hacker explica que existe o risco de apagar completamente os dados do dispositivo, perdendo acesso para sempre às criptomoedas.
Após extrair os dados com diversas rodadas de leitura, Grand faz um ataque de força bruta e encontra finalmente o PIN da carteira: 7163.
“Então uso esse PIN para descriptografar a seed de recuperação. Pronto, 24 palavras. E eu soube que finalmente tinha vencido aquele chip.”
Antes de importar as palavras em uma nova carteira, este é o momento em que Grand faz uma chamada em vídeo com sua cliente para verem juntos qual valor estava travado na carteira.
“São os últimos dígitos do meu telefone”, comenta Shanna. Neste caso, a carteira estava inacessível, mas a prática de usar números como datas e finais de telefone como senha representa uma grande brecha de segurança.
Independentemente disso, a dupla teve uma surpresa desagradável: a carteira não tinha US$ 800.000, mas somente US$ 45.767 em Bitcoin.
“É um ótimo número, não era o que eu imaginava, mas é totalmente ok”, comenta a cliente.
Agora que já explicou seus métodos, Joe Grand deixa a parte técnica de lado e foca mais nas histórias por trás das perdas.
“Eu estava terminando com a minha namorada na época e queria apaziguar ela, tipo: só me deixa em paz”, comentou Aiden, o próximo cliente. “Dei a seed para ela, e depois ela perdeu.”
Ao acessar a carteira, a história parece pior que a primeira. Isso porque o saldo aparece zerado.
— Você tinha um saldo nela, 1,89 bitcoin. — comenta Grand.
— Ela levou tudo. Eu nunca tirei nada dela desde 2017. — responde Aiden.
— Então, ela realmente recuperou a carteira e ficou com todo o dinheiro.
— Ela fez isso.
— Caramba.
— Ok.
— Isso dava tipo uns 150 mil dólares ou algo assim.
— Ela levou. Ela me disse que não… Mas aparentemente ela levou.
Assim como no caso anterior, onde a investidora usou os últimos dígitos do seu número de telefone como PIN, este caso também revela outra brecha de segurança gigante: compartilhar sua frase-semente com alguém.
Dirigindo-se ao aeroporto para encontrar outros clientes e pegar mais carteiras de hardware, Joe Grand comenta sobre a tensão de seu trabalho.
“Cada recuperação parece que estou entrando numa cirurgia. Há uma expectativa do cliente de que eu consiga. E isso é uma grande pressão. Por trás de toda carteira, há uma história.”
A próxima história é de um casal que teve um filho há três anos e recebeu uma carteira Trezor como presente. Devido ao momento de suas vidas, eles acabaram não prestando tanta atenção e acabaram se esquecendo do PIN.
Um ano depois, um dos filhos do casal faleceu e a família saiu em viagem para a natureza para se recompor. Na volta, eles encontraram a carteira, mas não conseguiam acessá-la.
Em menos de 24 horas, Kingpin conseguiu quebrar a segurança do dispositivo.
“Uma vez que eu realmente consigo e tenho acesso à seed de recuperação e ao PIN, é como se o céu se abrisse e é tão empolgante.”
Após recuperar a carteira em outro dispositivo, um momento de tensão é gerado com o saldo aparecendo em zero, então o número salta para US$ 216.265 devido a uma soma de 2,02 bitcoins.
“Sinto como se tivéssemos acabado de ganhar na loteria. É uma sensação de segurança que não tínhamos antes. Meu plano é guardar uma parte, gastar outra e doar o resto.”
Em outro caso que chama atenção, um investidor diz ter comprado alguns bitcoins há dois anos, mas que também acabou perdendo acesso às suas quatro carteiras.
“Há dois anos, decidi comprar alguns bitcoins e perguntei a um amigo. Ele era meu fornecedor de bitcoins. Ele me deu quatro carteiras Trezor, com um bitcoin em cada.”
“Então, eu estava planejando dar isso para meus três filhos e minha esposa. Eu simplesmente peguei as carteiras e coloquei no cofre. Um ano e meio depois, abri o cofre porque o preço estava subindo. Quando tentei fazer isso, todas as senhas tinham se perdido”, lamenta o investidor.
Kingpin novamente conseguiu acesso às quatro carteiras após obter os PINs de nove dígitos.
Ao acessar a primeira carteira, o sorriso de todos desapareceu após verem um grande zero como saldo.
— Então, parece que em 2023 o dinheiro entrou e depois alguém retirou em 2024. — explicou Grand.
— Ah, não me diga isso. — respondeu Alejandro
— Então, na verdade, podemos ver o histórico de transações na blockchain. Então, recuperamos a carteira. Alejandro, você nunca mexeu nessas carteiras.
— Eu nunca mexi nelas. Nunca mexi. Elas estavam no cofre.
— É possível mover para outra carteira remotamente? — questionou um terceiro que acompanhava o processo.
— Só se alguém tiver a seed de recuperação. Talvez seu amigo tivesse uma cópia.
— Ah, não. Não. Eu não sei… meu amigo talvez nem seja meu amigo, e talvez eu nem saiba o que aconteceu.
— Essa é uma das quatro. Então, devemos tentar as outras? E se todos os fundos foram movidos no mesmo dia de todas as carteiras, isso te diz alguma coisa, né? Que foi uma transferência intencional.
As outras três carteiras apresentaram o mesmo padrão, com saídas no dia 14 de agosto de 2024 para o mesmo endereço.
“Está claro que ele pegou o dinheiro, né? Porque ele era a única pessoa que tinha todas as palavras-chave e tudo mais. A única pessoa que poderia tirar os bitcoins de lá era ele. E quando ligo dizendo que não tenho a senha, talvez ele pense: “Ok, eu também não tenho. Então, desculpa, você perdeu. Você não tem nada.” E aí ele pega o dinheiro.”
Finalizando, o investidor afirma que estará juntando mais provas antes de falar com seu amigo e explica que suas famílias são próximas. “É um choque”, declarou. “Aqui nesse mundo, você não sabe quem são as pessoas boas.”
De todos os casos, este foi o maior erro cometido: receber uma carteira configurada por outra pessoa, ainda que alguém que fosse considerado um amigo.
Entre um cliente e outro, Joe Grand reflete sobre a dificuldade de seu trabalho, tanto no aspecto técnico quanto emocional.
“Falo como se fosse uma montanha-russa e não é só do lado técnico. É uma montanha-russa do lado da ansiedade, do estresse, da saúde mental, do tempo longe da minha família. É muito trabalho, mas de vez em quando, quando surge aquela faísca de luz e conseguimos ajudar alguém, isso realmente faz a gente se sentir bem. A gente nunca sabe exatamente o que esperar.”
Para balancear o vídeo que trouxe algumas histórias tristes, o hacker finaliza com o maior caso de todos, uma recuperação de milhões em criptomoedas.
Desta vez, o alvo não foi uma Trezor, mas sim uma KeepKey, que utiliza o mesmo chip e, portanto, a mesma técnica foi aplicada.
“A KeepKey é uma carteira de hardware diferente, mas basicamente é como um parente próximo da Trezor Model 1. Ela usou a Trezor Model 1 como base do seu design e depois fez várias alterações para se tornar seu próprio produto.”
“Ela é feita por uma empresa diferente, tem interface de usuário diferente, design físico diferente e até uma forma diferente de armazenar as informações criptografadas no dispositivo. Mas o legal é que ainda usa o mesmo microcontrolador STM32 F2 que a Trezor Model 1 usa”, explica Grand.
Segundo o investidor anônimo, ele e seu filho decidiram comprar uma KeepKey por questões de segurança, mas no ano seguinte não conseguiram acessar seus fundos.
Ele explica que eles salvaram tanto o PIN quanto a frase-semente em seu computador. Este é outro erro grave de segurança, já que o sistema operacional está vulnerável a diversos tipos de ataques, enfraquecendo toda a segurança da carteira de hardware.
Para sua sorte, tais dados nunca foram roubados. Por outro lado, o investidor conta que o disco rígido queimou, deixando-os sem acesso ao backup.
Kingpin explica que teve mais trabalho com a KeepKey para entender as diferenças em relação à Trezor, mas que no final também conseguiu acesso às palavras.
“E é nesse exato momento que todo o projeto passa pela minha cabeça. Tenho uma relação de amor e ódio com a quebra de carteiras que venho fazendo. Por um lado, é muito satisfatório porque aprendo coisas novas e consigo ajudar pessoas. Por outro lado, dá um trabalho enorme. Muitas vezes, estamos lidando com carteiras que não têm nenhum valor.”
Ao abrirem a carteira, lá estavam US$ 2,2 milhões em Bitcoin, Ethereum e USDC.
Embora muitas pessoas possam se chocar em um primeiro momento com a fragilidade de certas carteiras de hardware, as invasões feitas por Joe Grand requerem um amplo conhecimento técnico e equipamentos especializados, além de acesso físico aos dispositivos.
Por outro lado, talvez o ponto mais importante esteja ligado à vulnerabilidade humana.
Enquanto alguns cometem erros bobos de não fazer e armazenar backups de forma segura, outros usam PINs fracos (como datas de aniversário e números de telefone) que permitiriam uma invasão rápida por qualquer pessoa que tivesse acesso físico aos dispositivos e uma breve pesquisa.
Os casos mais graves são aqueles em que os investidores depositam confiança em terceiros.
Ao final, Joe Grand promete publicar novos vídeos. “Só estamos começando”, comenta Kingpin, deixando um spoiler de que abrirá uma carteira inacessível onde um investidor afirma guardar US$ 66 milhões.
O primeiro vídeo da série pode ser assistido na íntegra abaixo.
Comentários