O aviso da CERT/CC, publicado a 26 de outubro, descreve uma falha na derivação endurecida da mpc-lib da Fireblocks, identificada como CVE-2026-90975. Uma parte da chave de assinatura de um descendente comprometida, juntamente com o respetivo código de cadeia, pode expor as partes ancestrais dessa entidade. A falha não permite, por si só, recuperar uma chave completa utilizável para gastar fundos; os requisitos de limiar MPC continuam a ser relevantes.
Porque é importante
O problema prende-se com a forma como as partes das chaves de assinatura são derivadas e protegidas numa configuração de computação multipartidária. A exposição de partes ancestrais pode enfraquecer as garantias de segurança relativas ao material de chave da entidade afetada, embora a condição descrita no aviso não seja suficiente, por si só, para reconstruir uma chave utilizável para gastar fundos.
Impacto no mercado
Para os prestadores de serviços de custódia de criptoativos e as instituições, a divulgação chama a atenção para as implementações de derivação endurecida e para os controlos aplicados às partes das chaves de assinatura e aos códigos de cadeia. A informação fornecida não especifica que implementações são afetadas, quais os passos de correção nem se houve exploração, pelo que não é possível determinar o alcance prático apenas com base no resumo do aviso.
Perguntas frequentes
-
O que é afetado pela CVE-2026-90975?
O aviso descreve uma falha na derivação endurecida da mpc-lib da Fireblocks.
-
Que informação é necessária para expor partes ancestrais?
A condição descrita combina uma parte da chave de assinatura de um descendente comprometida com o respetivo código de cadeia.
-
A falha recupera, por si só, uma chave completa utilizável para gastar fundos?
Não. Segundo o resumo do aviso, a falha não permite recuperar, por si só, uma chave completa utilizável para gastar fundos.
-
Porque continuam a ser relevantes os requisitos de limiar MPC?
A falha expõe partes ancestrais da entidade afetada, mas não reconstrói, por si só, uma chave completa utilizável para gastar fundos. Os requisitos de limiar MPC continuam a ser relevantes.
-
Que questões de segurança na custódia são levantadas pela divulgação?
A divulgação chama a atenção para a derivação endurecida e para a proteção das partes das chaves de assinatura e do material dos códigos de cadeia.
CoinDesk
TheBlock
WuBlockchain
CryptoSlate
CoinTelegraph
WatcherGuru
Altcoin Daily