Perdas de bitcoin ligadas à Coldcard chegam a US$ 70 milhões após falha de firmware

A Galaxy Research informou que 1.196 endereços foram esvaziados, totalizando 1.082,65 BTC (cerca de US$ 70,2 milhões), entre 01:10:20 e 01:51:26 UTC de 30 de julho. Segundo a Galaxy, os fluxos estão associados a uma vulnerabilidade da Coldcard, com base em um padrão detectado por engenheiros da Block e divulgado por Clay Garrett. A Coinkite alertou inicialmente que usuários que geraram seeds em dispositivos Coldcard Mk3 com a versão 4.0.1 ou superior poderiam estar em risco. Depois, a empresa ampliou o aviso para determinadas versões de firmware dos modelos Mk4, Mk5 e Coldcard Q e lançou atualizações emergenciais. Na sexta-feira, o CEO da Coinkite, Rodolfo Novak (conhecido como NVK), pediu desculpas e afirmou que a empresa assume total responsabilidade pelo bug de firmware. Por que isso importa: fragilidades na geração de seed podem transformar um problema de firmware no nível do dispositivo em risco direto de custódia para quem mantém fundos em carteiras afetadas. Sentimento de mercado: baixista, sob estresse, orientado por evento e com redução de risco. Motivo: a Galaxy Research vinculou mais de 1.000 BTC drenados a uma vulnerabilidade da Coldcard, o que tende a ser interpretado como risco direto de custódia. Casos semelhantes: em 2022, desenvolvedores da Solana atribuíram um dreno de carteiras a wallets móveis da Slope; quase 8.000 carteiras haviam sido afetadas até 5h UTC. A Slope recomendou que usuários criassem uma nova carteira com nova seed phrase e transferissem os ativos. (The Block) A diferença é que o caso Slope envolvia software em dispositivos móveis, enquanto o episódio atual envolve firmware de hardware wallet da Coldcard e seeds de Bitcoin. Efeito em cadeia: a confiança na custódia pode enfraquecer se a geração de seed passar a ser vista como pouco confiável nos dispositivos impactados. Se surgirem novos drenos a partir de conjuntos de seeds afetados, usuários podem migrar recursos da autocustódia para outras formas de custódia enquanto fazem a rotação das carteiras. Se as atualizações emergenciais impedirem novas perdas, o impacto pode ficar restrito a quem já possui seeds comprometidas. Oportunidades e riscos: Oportunidades: se as atualizações emergenciais da Coinkite e o processo de geração de nova seed interromperem novos drenos, transferências em etapas — após uma pequena transação de teste — podem servir como sinal de recuperação mais segura. Riscos: se ataques futuros atingirem endereços gerados pela Coldcard, tratar as seeds antigas como comprometidas ajuda a reduzir a exposição a novas perdas de custódia.