Falha na geração de seed da Coldcard expõe cerca de US$ 90 milhões em Bitcoin

Ponto-chave: a Coldcard gerou parte das seeds usando o PRNG de software Yasmarang, do MicroPython, em vez da fonte de entropia de hardware. Em alguns modelos, a entropia efetiva teria caído para cerca de 40 bits. A falha foi distribuída em março de 2021 e permaneceu em um firmware publicamente legível por mais de cinco anos. Levantamento: segundo a contagem da Galaxy Research, o problema alcançou 4.585 endereços. Após invasores varrerem 500 endereços, o montante associado chegou a quase US$ 90 milhões. A hipótese de trabalho da Coinkite é que alguém tenha usado IA para vasculhar o firmware público em busca do bug. Por que importa: seeds fracas podem transformar autocustódia em um canal direto de perdas, já que o conhecimento da chave privada pode transferir o controle do Bitcoin imediatamente. Sentimento de mercado: baixista, com estresse, motivado por risco técnico e medo. Motivo: invasores varreram 4.585 endereços e quase US$ 90 milhões ligados a uma falha de geração de seed na Coldcard, reforçando o risco direto na custódia. Casos semelhantes: em 2023, a vulnerabilidade "Milk Sad" no Libbitcoin Explorer expôs carteiras geradas pelo comando bx seed, porque versões vulneráveis usavam um PRNG fraco (Mersenne Twister) para material criptográfico. Em 12 de julho de 2023, atacantes exploraram a falha para roubar grandes quantias, e o Libbitcoin Explorer 3.8.0 depois removeu o comando problemático de geração de entropia. Diferença principal: "Milk Sad" estava ligada a uma ferramenta de carteira via linha de comando; o episódio atual envolve um assinador de hardware. Efeito em cadeia: entropia fraca amplia o risco em qualquer fluxo de carteira que dependa de um único dispositivo como fonte exclusiva de segurança da seed. Se usuários e fornecedores não conseguirem separar com clareza seeds afetadas de seeds seguras, a confiança pode migrar para geração de chaves verificável de forma independente. Se surgirem mais endereços varridos, o caso tende a reforçar a demanda por builds reprodutíveis e por bases de código confiáveis menores. Oportunidades e riscos - Oportunidades: caso a Coinkite ou pesquisadores publiquem orientações claras sobre dispositivos e firmwares afetados, a migração de fundos para seeds geradas de forma independente pode reduzir a exposição dos usuários impactados. - Riscos: se mais endereços forem varridos ou o espaço de chaves afetado continuar pesquisável, reduzir a dependência da geração de seed em um único dispositivo diminui o risco de compromissos recorrentes.