Falha de firmware na Coldcard permite roubo de US$ 89 milhões em BTC

Uma vulnerabilidade crítica em firmware da Coldcard, uma das carteiras físicas de Bitcoin mais conhecidas do mercado, permitiu que invasores drenassem cerca de 1.367 BTC (aproximadamente US$ 89 milhões) de milhares de endereços. Em vez de phishing ou invasão a corretoras, o ataque mirou o próprio processo de geração de chaves da carteira: um bug de cinco anos produzia seeds com entropia insuficiente, o que viabilizou a reconstrução das chaves privadas offline e a varredura dos saldos. O que aconteceu: três ondas e 1.367 BTC levados Em 30 de julho de 2026, por volta de 12:00 UTC, começou a primeira onda. Em 25 minutos, sumiram 594 BTC (cerca de US$ 38 milhões) de aproximadamente 500 carteiras. O padrão foi de priorização dos maiores saldos: a Chainalysis afirma que o operador focou os alvos mais ricos e arrecadou mais de US$ 30 milhões nos primeiros 10 minutos; uma única carteira perdeu cerca de US$ 1,8 milhão. Ainda no mesmo dia ocorreu a segunda onda, elevando as perdas para 1.082 BTC (em torno de US$ 70 milhões) em 1.196 endereços, em um intervalo de 41 minutos. Até 2 de agosto, após três ondas, o total acumulado chegou a 1.367 BTC (aprox. US$ 89 milhões), atingindo 4.585 endereços. A varredura ampla durou quase 30 horas até a Coinkite publicar o primeiro alerta público. Posteriormente, a Galaxy Research identificou cerca de 600 endereços suspeitos ligados aos atacantes e reportou a investigadores. A empresa também observou semelhanças operacionais nas ondas 1 e 2; a onda 3 apresentou outra forma de consolidação dos valores, sugerindo possível atuação de um segundo agente. Linha do tempo: como o bug entrou e por que passou despercebido • 1º de março de 2021: um commit alterou a geração de seed de ckcc.rng_bytes (que usava o RNG de hardware) para ngu.random.bytes (PRNG em software). (Coinkite; análise de blocos) • 17 de março de 2021: o firmware v4.0.0 foi lançado com o código defeituoso. Seeds geradas em Mk2 e Mk3 a partir daqui passaram a ter cerca de 40 bits de entropia. (Coinkite) • 2021–2026: o bug permaneceu por cinco anos apesar de atualizações, revisões de segurança e uma auditoria assistida por IA. (crypto.news; Bitcoin Magazine) • 30 de julho de 2026: onda 1 (594 BTC/US$ 38 milhões; ~500 carteiras em 25 min). (Lookonchain; Block; Chainalysis; 24/7 Wall St) • 30 de julho de 2026: onda 2 (1.082 BTC/US$ 70 milhões; 1.196 endereços em 41 min). (Galaxy Research; The Hacker News) • 30–31 de julho de 2026: a Coinkite publica advisory, orienta migração e libera firmware corrigido. (blog da Coinkite; Bitcoin Magazine) • 31 de julho de 2026: a Block (empresa de Jack Dorsey) divulga análise técnica independente sobre a falha no gerador de números aleatórios. (análise da Block) • 1–2 de agosto de 2026: onda 3 eleva perdas a 1.367 BTC/US$ 89 milhões em 4.585 endereços; advisory passa a incluir Mk4, Mk5 e Q. (PYMNTS; CyberInsider; Galaxy Research) • 2–3 de agosto de 2026: Galaxy reporta ~600 endereços suspeitos a autoridades e equipes de compliance/cibersegurança. (The Hacker News; Galaxy Research) A falha: uma troca de RNG reduziu a entropia Em 1º de março de 2021, uma mudança pontual no código substituiu o uso do gerador de aleatoriedade físico do chip STM32 por um PRNG de software. Esse PRNG se apoiava em entradas determinísticas como número de série do dispositivo, valores de timer e histórico de chamadas anteriores, processadas com SHA256d. Hashing embaralha dados, mas não cria aleatoriedade nova; com um espaço inicial limitado, o resultado continua limitado. Segundo as análises, Mk2 e Mk3 geraram seeds com aproximadamente 40 bits de entropia. Já Mk4, Mk5 e Q recebiam contribuição adicional de um secure element, elevando a entropia efetiva para cerca de 72 bits. Ainda assim, ambos os níveis ficam abaixo do patamar esperado de 128 bits para geração de seeds de Bitcoin. O CEO da Foundation Devices, Zach Herbert, atribuiu a introdução do bug a uma reescrita grande do firmware em março de 2021, voltada a substituir trechos remanescentes sob GPL por novas bibliotecas criptográficas — uma mudança motivada por licenciamento, não por uma decisão explícita de segurança. Mesmo assim, o defeito permaneceu em produção por cinco anos. Como o ataque funcionou: brute force em seeds de 40 bits Os invasores não precisaram roubar dispositivos nem obter acesso remoto. A hipótese central é que, com estimativas plausíveis de variáveis (UID do dispositivo, estado de temporizadores e sequência de chamadas do RNG), seria possível reproduzir offline os fluxos de saída do PRNG, gerar seeds candidatas, derivar endereços de Bitcoin e comparar com dados públicos da blockchain. Com cerca de 40 bits de entropia, o universo de possibilidades fica em torno de 2^40 (aproximadamente um trilhão). Embora pareça grande, hardware moderno torna essa busca viável, sobretudo se o atacante reduz o escopo a seeds criadas no período vulnerável (2021 a 2026) e foca endereços mais promissores. Quando uma seed candidata gera um endereço com saldo, o atacante obtém a chave privada correspondente e transfere os fundos. Para Mk4, Mk5 e Q, a entropia estimada de ~72 bits torna a exploração mais difícil, mas ainda abaixo do padrão. A Block classificou o desenho como uma estrutura de "fail-open" perigosa, afirmando que certas condições de boot poderiam reduzir a busca a apenas 2^32 valores. Não há confirmação de exploração em escala dessa fragilidade até o momento. Quem foi afetado: modelos, firmwares e nível de risco O fator decisivo é o firmware instalado quando a seed foi criada. Atualizar hoje não fortalece uma seed antiga: se ela nasceu fraca, continua fraca. • Mk2 / Mk3 – Firmware vulnerável na criação da seed: v4.0.0 / v4.0.1 até v4.1.9 – Entropia efetiva: ~40 bits – Firmware corrigido: v4.2.0+ – Risco: mais alto; exploração ativa confirmada • Mk4 / Mk5 – Antes do v5.6.0 (standard) / antes do v6.6.0X (Edge) – Entropia efetiva: ~72 bits – Corrigido: v5.6.0+ / v6.6.0X+ – Risco: sem exploração confirmada em escala; entropia abaixo do padrão • Q – Antes do v1.5.0Q (standard) / antes do v6.6.0QX (Edge) – Entropia efetiva: ~72 bits – Corrigido: v1.5.0Q+ / v6.6.0QX+ – Risco: semelhante ao Mk4 e Mk5 Há um ponto mitigador: usuários que adicionaram pelo menos 50 jogadas de dado independentes e privadas durante a criação da seed introduziram entropia externa real, neutralizando a fraqueza do RNG em software. Uma passphrase BIP39 forte eleva o custo do brute force, mas não "conserta" a seed base; por isso, a Coinkite segue recomendando migração de fundos originados em firmware afetado. Avaliação rápida e o que fazer • Seed criada antes da mudança de março de 2021: geralmente não afetada por este bug. • Seed criada no firmware vulnerável com 50+ jogadas de dado privadas: risco mínimo para esta falha (ainda assim, revisar registros e seguir orientação oficial). • Seed criada no firmware vulnerável sem dados suficientes: tratar como exposta; criar nova seed e migrar. • Seed com passphrase BIP39 forte: reduz probabilidade de ataque, mas a seed permanece fraca; migrar. • Multisig com chave derivada de Coldcard afetada: risco depende do threshold; recomenda-se rotacionar todas as chaves afetadas e revisar a política. A Coinkite afirmou que Trezor, Ledger e a Block (Bitkey) utilizam sistemas diferentes de geração de entropia, portanto esta falha específica não se aplicaria a seeds geradas nesses dispositivos. Resposta da Coinkite: correções e críticas A Coinkite publicou os primeiros avisos em 30 e 31 de julho, cerca de 30 horas após o início da varredura, e lançou firmwares corrigidos para todos os modelos impactados (Mk3 v4.2.0, Mk4/Mk5 v5.6.0, Q v1.5.0Q), além de análise técnica e guia de migração. Em 1º de agosto, atualizou o advisory para reconhecer entropia reduzida também em Mk4, Mk5 e Q. A reação, ainda assim, recebeu críticas: o bug passou por cinco anos de releases e revisões, incluindo uma auditoria assistida por IA feita semanas antes do ataque, sem ser detectado. O atraso no alerta público também é apontado como fator que reduziu a chance de usuários migrarem antes de serem atingidos. O pesquisador Kevin Loaec (Wizardsardine) defendeu que usuários devem considerar expostas configurações multisig contendo chaves afetadas, tema que, segundo ele, não foi plenamente tratado no advisory. Como migrar os fundos com segurança Atualizar o firmware não protege uma carteira já criada com seed fraca. Para mitigar o risco, a orientação é gerar uma seed nova em firmware corrigido e transferir todos os BTC para endereços derivados dessa nova seed. Passo a passo (resumo): 1) Atualize o firmware para a versão corrigida do seu modelo e trilha (standard/Edge), baixando do site oficial da Coinkite. 2) Gere uma seed totalmente nova no dispositivo atualizado (não restaure a antiga). Para entropia extra, use pelo menos 50 jogadas de dado independentes e privadas. 3) Faça o backup e a verificação no dispositivo; confira se o endereço de recebimento exibido no software coincide com o mostrado na tela da Coldcard. 4) Transfira todo o saldo do conjunto de endereços da seed antiga para endereços da seed nova, verificando destino e detalhes antes de assinar. 5) Confirme na blockchain as confirmações e que os endereços antigos ficaram zerados. 6) Só então destrua o backup da seed antiga e elimine cópias físicas e digitais. Cada migração exige transações on-chain; é preciso considerar taxas de rede e evitar taxas excessivamente baixas em um cenário de urgência. Em multisig, todas as chaves derivadas de seed afetada devem ser rotacionadas, com validação da nova configuração antes de movimentar valores relevantes. Implicações para autocustódia O caso reforça que autocustódia depende de duas condições: controle das chaves e geração das chaves com aleatoriedade de alta qualidade. Uma seed pode parecer válida e gerar endereços funcionais, mas ainda assim ter entropia fraca por baixo. O episódio também é citado como a terceira grande falha de PRNG no setor nos últimos anos, após Milk Sad (2023) e Ill Bloom (2026). O incidente ainda adiciona nuance ao debate entre firmware aberto e fechado: o código da Coldcard é publicamente acessível (ainda que não sob uma licença permissiva plenamente open source), e mesmo assim o problema permaneceu invisível por anos. Código público não garante segurança, mas é uma condição importante para auditoria comunitária. A CoinDesk informou que episódios como esse podem levar parte dos investidores a preferir ETFs de Bitcoin, que eliminam riscos operacionais de geração e guarda de chaves, mas transferem o risco para um custodiante e uma instituição financeira regulada. A Blockaid também apontou que, no primeiro semestre de 2026, a maioria das perdas em cripto veio de chaves comprometidas e falhas operacionais, não de exploits de smart contracts. Nesse sentido, o ataque se encaixa no padrão: o alvo foi a geração de chaves, não o Bitcoin. Este conteúdo tem caráter informativo e educacional e não constitui aconselhamento financeiro, de investimento, jurídico ou de segurança. Perguntas e respostas essenciais • Minha Coldcard está comprometida? A seed pode estar comprometida se tiver sido criada em Mk2/Mk3 com firmware v4.0.0 a v4.1.9 sem entropia suficiente de jogadas de dado. Seeds de Mk4/Mk5/Q geradas antes dos patches têm ~72 bits de entropia; não há exploração em massa confirmada, mas seguem abaixo do padrão. A orientação é atualizar, criar nova seed e migrar os fundos. • Atualizar o firmware resolve? Não para seeds antigas. A atualização corrige apenas a geração futura; seeds já criadas com baixa entropia continuam fracas. É necessário gerar uma nova seed e transferir os BTC. • Ledger e Trezor foram afetadas? Não, segundo as próprias empresas e a Block (Bitkey), que dizem usar métodos diferentes de geração de entropia. • Quanto foi roubado? Até 2 de agosto de 2026, cerca de 1.367 BTC (aprox. US$ 89 milhões) em três ondas, afetando 4.585 endereços. O número final pode mudar conforme a investigação. • Quem é o atacante? Ainda não identificado. A Galaxy Research acredita que as ondas 1 e 2 podem ter o mesmo operador; a onda 3 apresentou comportamento on-chain distinto, sugerindo possível segundo atacante. Aproximadamente 600 endereços suspeitos foram reportados. • Jogadas de dado me protegem? Sim, se foram pelo menos 50 jogadas independentes e privadas durante a criação da seed. Essa entropia externa não é reduzida pelo RNG defeituoso. A Coinkite afirma que usuários que executaram corretamente esse processo enfrentam risco mínimo nesta vulnerabilidade.