Exploit na Coldcard: roubo confirmado de 1.719 BTC; perdas podem passar de US$ 130 milhões

A dimensão do exploit que atingiu a carteira de hardware Coldcard começa a ser quantificada. A Galaxy Research afirma ter alta confiança de que, ao menos, 1.719 BTC foram desviados de múltiplas contas de usuários, o que equivale a cerca de US$ 111 milhões pelos preços recentes. O número, porém, pode ser apenas uma parte do total. Na avaliação mais recente da equipe, citada no relatório original, as perdas tendem a superar US$ 130 milhões quando os casos ainda pendentes forem verificados. Investigadores já identificaram mais de 25 padrões distintos de ataque e avaliam que há vários agentes maliciosos explorando a vulnerabilidade em paralelo. O universo de vítimas também cresce. A Galaxy diz ter recebido relatos de mais de 250 pessoas. Se todas as ocorrências forem confirmadas, o montante roubado pode ultrapassar 2.300 BTC. Até o momento, os únicos modelos reconhecidamente afetados são Coldcard Mk3, Mk4, Mk5 e o modelo Q. Não há evidências de que a falha tenha se espalhado para outros dispositivos de assinatura ou outras carteiras, e a Galaxy não sinalizou comprometimento de softwares ou firmwares fora do ecossistema da Coldcard. Um golpe no coração da autocustódia O episódio atinge em cheio a narrativa da autocustódia. A Coldcard é vista por muitos como uma das carteiras de hardware mais seguras para Bitcoin, com proposta voltada a armazenamento "air-gapped" e perfil de segurança "paranoid-grade". Ver esse tipo de produto quebrado nessa escala, com indícios de exploração ao longo de um período prolongado, tende a abalar a confiança de usuários que concentraram ali patrimônio relevante. O incidente também adiciona combustível ao debate legislativo em Washington sobre proteções à autocustódia. A poucos dias de uma votação crucial no Senado sobre uma proposta histórica de legislação cripto — tema discutido em nossa cobertura sobre como bancos tentam redesenhar o texto —, um ataque dessa magnitude oferece um argumento forte para quem defende regras mais restritivas. Carteiras de hardware são vendidas como a linha de defesa definitiva contra hacks, mas seguem expostas a riscos como ataques à cadeia de suprimentos, adulteração de firmware e exploração de canais laterais físicos. Neste caso, nem a Coinkite nem a Galaxy detalharam publicamente o vetor de entrada. A variedade de padrões observados sugere que não se trata de um único bug. Hipóteses levantadas incluem gerador de números aleatórios mal configurado, componente da cadeia de suprimentos comprometido ou falha em protocolos de comunicação do dispositivo. Para quem perdeu recursos, pesa ainda o aspecto estrutural do Bitcoin: a imutabilidade torna a recuperação praticamente inviável. Próximos passos para vítimas e para o mercado Com mais de 250 vítimas identificadas, aumentam os riscos legais e o desgaste reputacional para a Coinkite, fabricante da Coldcard. A empresa ainda não publicou um pós-mortem técnico detalhado, e o mercado espera sinais sobre a viabilidade de correção para o hardware existente ou se será necessário substituir unidades. Embora, por ora, apenas a linha da Coldcard apareça afetada, a presença de atacantes independentes reforça a leitura de que a vulnerabilidade pode ter circulado em determinados círculos antes de virar notícia. Isso levanta a possibilidade desconfortável de que o exploit tenha sido descoberto e negociado de forma privada, só ganhando destaque após as perdas dispararem. Do ponto de vista institucional, o caso deve levar fundos e grandes detentores a reavaliar com mais rigor suas escolhas de dispositivos. Configurações multisig e soluções de armazenamento a frio via custodiante podem voltar a ganhar tração. A questão do seguro também retorna ao centro: a maioria dos usuários de autocustódia não tem cobertura, enquanto custodiantes regulados costumam embutir seguro no serviço. O patamar acima de US$ 130 milhões, apesar de pequeno frente ao valor de mercado total do Bitcoin, é suficiente para atrair atenção regulatória num momento em que legisladores discutem como classificar e supervisionar provedores de carteiras. Incertezas permanecem Várias perguntas seguem sem resposta e indicam que o caso ainda deve evoluir. O relatório da Galaxy não esclarece como os atacantes teriam extraído chaves privadas ou assinado transações sem acesso físico aos aparelhos. Uma possibilidade é que a falha tenha permitido que um agente com acesso temporário — durante o envio ou via revendedor comprometido — conseguisse drenar fundos depois, sem necessidade de manter contato com o dispositivo. A existência de mais de 25 padrões aponta para múltiplas técnicas, e não se pode descartar que parte das vítimas tenha instalado atualizações de firmware maliciosas obtidas em fontes não oficiais. A comunidade agora pondera se a marca Coldcard conseguirá reconstruir reputação. Segurança de carteiras de hardware depende tanto de confiança quanto de criptografia. Quando essa confiança se rompe na escala de milhares de moedas, o caminho de volta é longo. Outros fabricantes tendem a usar o episódio para posicionar seus produtos como superiores. A lição mais ampla para o setor é direta: autocustódia exige vigilância contínua, e nenhum dispositivo deve ser tratado como escudo infalível.