Falha na carteira Coldcard teria permitido roubo de US$ 100 milhões em bitcoin e atingido milhares de usuários

Jonathan Goodman seguiu à risca as práticas recomendadas para proteger seus bitcoins. A Coldcard que guardava suas chaves nunca havia sido conectada à internet e ficava trancada em um cofre bancário. A frase-semente, que ele afirma nunca ter compartilhado, estava em um segundo cofre. Mesmo assim, em 29 de julho, todas as suas carteiras foram esvaziadas: cada satoshi foi levado. O empreendedor de Toronto informou ter perdido 18,25 bitcoins, avaliados em pouco mais de US$ 1,17 milhão na data do ataque. “Talvez a parte mais difícil seja que eu fiz tudo certo”, escreveu em 1º de agosto em uma publicação no X. O caso, segundo a Galaxy Research, integra uma ofensiva bem maior que atingiu milhares de usuários da Coldcard. A área de pesquisa da Galaxy disse ter alta confiança de que 1.596 bitcoins — mais de US$ 100 milhões — foram roubados de cerca de 7.300 endereços em uma série de ataques. O chefe de pesquisa Alex Thorn estimou em 4 de agosto que ao menos 15 atacantes distintos exploravam a falha. Nenhum deles precisou de acesso físico ao aparelho. Carteiras de hardware são vendidas com a promessa de que seus segredos nunca saem do chip. Sem conexão à internet, o caminho de entrada, em tese, seria apenas a posse do dispositivo. Embora o uso de um equipamento físico também traga riscos — de perder o aparelho a situações de coerção —, o principal argumento de venda é a resistência a ataques online. No caso da Coldcard, essa promessa não se sustentou. A vulnerabilidade não estava no hardware em si, mas no processo de geração do segredo que protege os fundos: a senha/frase-semente. Carteiras de bitcoin podem ser de software (“hot wallets”), executadas em dispositivos conectados à internet, mais práticas, mas expostas se o equipamento for comprometido. Já as carteiras de hardware (“cold wallets”), como a Coldcard, mantêm as chaves em um dispositivo separado, sem conexão. Antes delas, houve as “paper wallets”, em que as chaves eram anotadas em papel — imunes a hackers, mas altamente vulneráveis a perda e dano. As carteiras de hardware ficam no meio do caminho: mais difíceis de invadir do que as de software e menos fáceis de perder do que um papel, mas não infalíveis. Podem ser extraviadas ou roubadas, e dependem de a fabricante gerar as chaves corretamente. “Sistemas air-gapped ajudam, mas não são uma solução perfeita”, disse Bobby Gray, fundador da TEXITcoin, ao CoinDesk. “A segurança precisa começar na forma como as chaves são geradas e continuar por todo o processo de custódia.” Foi nesse ponto que, segundo a apuração, a Coinkite — fabricante da Coldcard — falhou. Em março de 2016, a empresa de Toronto anunciou que encerraria sua hot wallet hospedada. Manter um serviço financeiro online vinha trazendo enxurradas de tráfego malicioso voltado a derrubar o sistema, além de custos legais crescentes e complicações regulatórias. A Coinkite afirmou que passaria a investir em hardware descentralizado e em “software not as a service”. Era o início da história do setor, antes do segundo halving do Bitcoin, quando 1 BTC era negociado pouco acima de US$ 400. A mudança gerou primeiro a Opendime, em abril de 2016: um pequeno dispositivo USB que criava e escondia uma chave privada, permitindo transferir bitcoins como um instrumento ao portador. Romper o lacre físico revelava a chave e permitia gastar os fundos. Pouco depois, veio a Coldcard. A Coinkite apresentou o produto em dezembro de 2017 com o título “The World Needs An Open, Cheap & Ultrasecure Hardware Wallet”. A empresa criticava o preço elevado e a dependência de apps proprietários em outras carteiras. O design original combinava teclado numérico, tela, secure element e entrada MicroSD. O usuário podia levar arquivos de transações assinadas e não assinadas entre a Coldcard e um computador sem estabelecer uma conexão de dados ativa. Não era necessária conta na Coinkite nem aplicativo de desktop. As primeiras unidades foram enviadas em 2018. O modelo seguinte, lançado em abril de 2019, adicionou mais recursos. A cada versão, o aparelho ficou mais complexo e, em teoria, mais sofisticado. Essa complexidade era parte do apelo: a Coldcard foi desenhada para quem aceita conferir detalhes de transações, administrar backups e montar seu próprio modelo de segurança. Funções como PIN de coerção, backups criptografados em MicroSD, suporte a multisig e rolagens de dados fornecidas pelo usuário miravam detentores de bitcoin que tratam a custódia como um cenário adversarial. O código-fonte também era público. Usuários podiam inspecionar o firmware, reproduzir a build e compará-la com a versão lançada pela Coinkite, reforçando o mantra do ecossistema: “don't trust, verify”. Ainda assim, a revisão não pegou o problema. A falha na geração da seed entrou na Coldcard durante uma grande mudança de software em 2021 e passou despercebida por anos. A Coinkite descreveu o firmware 4.0.0 como “All New Code, Same Great Features”. A atualização substituiu o código por equivalentes novos, adicionou builds reprodutíveis e agradeceu uma conta chamada “switck” pela “new source code library”. O desenvolvedor de Bitcoin James O'Beirne identificou a conta “switck” como pertencente ao cofundador da Coinkite, Peter Gray, após encontrar 58 alterações publicadas sob esse nome com a mesma assinatura criptográfica usada por Gray em alterações com seu nome. Essas assinaturas funcionam como autógrafos digitais resistentes a adulteração, indicando que a mesma chave secreta aprovou ambos os conjuntos de mudanças. A Coinkite não respondeu à alegação de identidade. Switck desenvolveu a libngu, coleção de códigos reutilizáveis incorporada ao firmware da Coldcard instalada nos dispositivos dos clientes. Uma de suas funções era ajudar a gerar a aleatoriedade usada na criação das carteiras. O'Beirne disse ter questionado esse processo ao auditar o código da Coldcard em maio de 2025. Ao rastrear a origem da aleatoriedade até a libngu, ele levantou para a Coinkite a possibilidade de um defeito. Segundo O'Beirne, a empresa respondeu que um problema real provavelmente já teria sido descoberto. “É o mesmo cara que deu de ombros para o meu relato sobre a possibilidade do defeito em maio de 2025”, escreveu depois sobre Peter Gray. A aleatoriedade é crítica porque uma nova carteira precisa escolher uma seed dentro de um número gigantesco de valores possíveis. A imprevisibilidade dessa escolha é medida em bits de “entropia”. Cada bit adicional dobra o número de possibilidades, tornando a seed mais difícil de adivinhar. A Coldcard deveria obter essa aleatoriedade de um gerador de hardware dedicado dentro do dispositivo. Em vez disso, um erro de configuração fez a carteira recorrer a um gerador de software mais simples, baseado em informações como dados do dispositivo e de tempo. Como isso não é completamente aleatório, pode ser reduzido ou reproduzido, diminuindo drasticamente o conjunto de seeds que um atacante precisaria testar. Em termos práticos: o código deveria escolher o segredo de cada carteira em um universo tão vasto que nenhum computador conseguiria tentar tudo. O erro direcionou o processo a uma fonte menor e mais fraca, reduzindo esse universo a um patamar viável de exploração. De acordo com a equipe de engenharia e segurança de Bitcoin da Block, o problema estava em como dois componentes de software se comunicavam ao ler uma configuração. A configuração deveria desativar uma fonte de números aleatórios depois que a Coldcard adicionou outra. A libngu verificava apenas se a configuração existia, não se estava ligada ou desligada. O firmware, assim, compilava normalmente, mas com o gerador errado. A Block afirmou que os dispositivos Mk2 e Mk3 afetados não recebiam aleatoriedade segura nesse processo. Os modelos Mk4, Q e Mk5 recebiam algum nível, mas o software mantinha apenas uma pequena parcela. A Coinkite estima que esses aparelhos mais novos geraram seeds com 72 bits de aleatoriedade, em vez dos 128 pretendidos — cerca de 72 quatrilhões de vezes menos possibilidades. A Block localizou o código vulnerável no firmware 4.0.0, lançado em 17 de março de 2021. A Coinkite aponta a versão 4.0.1 como o primeiro release afetado para usuários de Mk2 e Mk3. O código-fonte era público e o gerador correto de hardware estava presente no firmware final. Avaliadores confirmaram a existência do componente, mas não acompanharam o processo completo de geração da seed para verificar qual gerador era de fato utilizado. A empresa disse que revisões assistidas por IA feitas antes dos roubos também não detectaram o erro. Testes com vários modelos líderes de IA após o incidente também falharam em identificá-lo. A Coinkite prometeu publicar um relato mais completo da falha e afirmou estar apoiando diretamente os clientes afetados. A empresa não respondeu ao pedido de comentário do CoinDesk. A fabricante já liberou firmwares corrigidos para todos os modelos e trilhas de lançamento da Coldcard afetados. A atualização corrige a geração de seeds daqui para frente, mas não fortalece seeds já criadas com o software vulnerável. Segundo o comunicado da Coinkite, os usuários impactados precisam instalar o firmware corrigido, gerar uma nova seed e transferir seus bitcoins para endereços derivados dela. A Coldcard nasceu da ideia de que usuários de bitcoin poderiam eliminar custodiante e reduzir o número de terceiros em que precisam confiar. O episódio não recoloca uma exchange ou banco como contraparte confiável. Ele expõe uma dependência diferente: a autocustódia mantém as chaves com o usuário, mas o fabricante da carteira ainda determina se essas chaves foram criadas com segurança. No caso de Jonathan Goodman, a chave do patrimônio de mais de US$ 1 milhão em bitcoin estava em um cofre bancário, dentro de um dispositivo que nunca se conectou à internet. Por causa da falha no software de geração de seeds da Coldcard, a proteção física não fez diferença.