Hack em Coldcard: perdas superam US$ 111 milhões após falha de firmware

Carteiras de hardware sempre venderam uma promessa simples: manter as chaves offline para manter o Bitcoin seguro. Essa premissa foi abalada por uma vulnerabilidade de firmware nas Coldcard, produzidas pela Coinkite, que permitiu a atacantes esvaziar cerca de 1.596 a 1.719 BTC de milhares de endereços, com perdas estimadas entre US$ 100 milhões e US$ 111 milhões. Uma quarta onda suspeita, identificada por volta de 3 de agosto, teria acrescentado aproximadamente 389 BTC ao total. Alex Thorn, da equipe de análise onchain da Galaxy Digital, confirmou os achados por meio de perícia onchain. O que torna o caso especialmente grave é que as vítimas teriam seguido as recomendações de segurança: não houve phishing, vazamento de chaves nem erro do usuário. O problema estava no próprio firmware. Uma falha que levou cinco anos para aparecer A vulnerabilidade remonta a uma única versão do firmware. A Coldcard 4.0.1, distribuída em 17 de março de 2021, introduziu um bug no gerador de números aleatórios do dispositivo, fazendo com que as seeds fossem criadas com entropia muito abaixo do esperado. Em alguns casos, a entropia teria caído para algo em torno de 40 bits. Em termos práticos, uma carteira de Bitcoin bem protegida deveria ser computacionalmente impossível de adivinhar. Essas seeds não eram. Atacantes usaram ferramentas de força bruta de código aberto para reconstruir seeds afetadas e drenar as carteiras sob seu controle. A falha passou despercebida por mais de cinco anos. A Coinkite divulgou a vulnerabilidade em 30 de julho de 2026, e uma versão corrigida do firmware foi disponibilizada no dia seguinte. Ainda assim, atualizar o dispositivo não recupera fundos já perdidos e não corrige seeds geradas sob o firmware vulnerável. Usuários impactados precisam criar novas seeds com o firmware atualizado e transferir todos os recursos para novos endereços. A análise da Galaxy aponta ao menos 15 atacantes distintos atuando em, no mínimo, três ondas confirmadas de roubo, mirando cerca de 7.300 endereços ao todo. Em 7 de agosto, o total confirmado de Bitcoin roubado havia subido para 1.719 BTC. Alguns relatos estimam perdas potenciais acima de US$ 130 milhões ao incluir atividade adicional suspeita. O que os dados onchain mostram Um dos pontos mais chamativos do levantamento da Galaxy é que a maior parte dos fundos roubados segue sem ser gasta onchain. Os atacantes moveram o Bitcoin, mas ainda não o converteram nem o dispersaram em padrões típicos de lavagem, ao menos por enquanto. O encadeamento das ondas também chama atenção. Três ondas confirmadas vieram antes de uma quarta suspeita, indicando exploração coordenada, não a descoberta isolada por um agente oportunista. A identificação de pelo menos 15 atacantes sugere que a vulnerabilidade foi conhecida, compartilhada ou comercializada dentro de um grupo antes da divulgação pública. Implicações para autocustódia e segurança de hardware A Coldcard construiu reputação como uma das carteiras de hardware mais focadas em segurança. Sua base tende a ser composta por detentores de Bitcoin com maior sofisticação técnica, que optam por autocustódia em vez de manter ativos em corretoras. A ironia é clara: justamente quem mais se empenhou em controlar as próprias chaves acabou exposto por uma falha na ferramenta escolhida para protegê-las. Para quem ainda mantém fundos em qualquer dispositivo Coldcard com firmware da versão 4.0.1 em diante, a orientação é direta: atualizar o firmware e migrar os fundos para uma seed recém-gerada. Adiar aumenta o risco, especialmente se novas ondas de roubo ocorrerem. A possível quarta onda em 3 de agosto reforça que a janela de exploração pode permanecer aberta para endereços afetados que ainda não foram drenados.