Ataque à Coldcard reacende debate sobre riscos na custódia de criptoativos

O fundador da BlockTower Capital, Ari Paul, afirmou que o ataque envolvendo carteiras de hardware Coldcard evidenciou um problema estrutural do setor: nenhum modelo de custódia de criptomoedas oferece segurança total. Em publicação no X, Paul disse que qualquer solução — autocustódia ou custódia por terceiros — depende, no fim, de hardware e software sujeitos a vulnerabilidades ainda desconhecidas. O alerta veio após relatos de que invasores exploraram uma falha de firmware que afetaria múltiplas gerações de dispositivos Coldcard. O episódio teria resultado no roubo de cerca de 1.082,65 BTC, avaliados em aproximadamente US$ 70,2 milhões, em um intervalo de 41 minutos, reacendendo a discussão sobre a possibilidade de eliminar o risco de custódia. O caso ganhou ainda mais repercussão com o depoimento do empreendedor Jonathan Goodman, também no X. Ele relatou ter perdido cerca de US$ 1,6 milhão em Bitcoin que estavam armazenados em uma Coldcard mantida em cold storage dentro de um cofre bancário e que, segundo ele, nunca foi conectada à internet. A declaração aumentou a preocupação entre investidores porque sugere um desvio de medidas consideradas, em geral, de alto nível. Para Ari Paul, o incidente não deve ser tratado como uma falha pontual de um único fabricante, e sim como um lembrete de que diferentes modelos de custódia expõem investidores a riscos distintos. Ele observou que custodians centralizados já sofreram grandes violações de segurança ao longo dos anos, enquanto carteiras de hardware podem ser comprometidas por falhas de software e firmware. Na visão dele, mudar de um modelo para outro não elimina a possibilidade de perda de ativos digitais. Paul também argumentou que, em muitos países desenvolvidos, sistemas legais ainda oferecem proteção mais robusta a ativos financeiros tradicionais. Ainda assim, reconheceu que criptoativos podem seguir sendo mais atrativos em jurisdições onde direitos de propriedade e salvaguardas legais são menos confiáveis. A leitura de Paul foi contestada por Erik Voorhees, fundador da ShapeShift. Em postagem no X, Voorhees disse que o exploit não prova que seja impossível armazenar criptomoedas com segurança. Para ele, métodos de preservação de patrimônio envolvem trade-offs diferentes, e não riscos idênticos. Voorhees afirmou que usuários têm mantido, com segurança, centenas de bilhões de dólares em cripto por anos e defendeu que a autocustódia continua funcionando quando o investidor compreende os riscos e aplica práticas adequadas de segurança de forma consistente. O episódio da Coldcard, assim, extrapolou a dimensão de um incidente isolado e passou a alimentar um debate mais amplo sobre os limites da segurança na custódia de ativos digitais: de um lado, a visão de que há restrições sistêmicas inevitáveis; de outro, a avaliação de que o risco é inerente a qualquer sistema financeiro, sem invalidar a autocustódia quando bem executada.