Falha no Coldcard por quase cinco anos: RNG previsível, quatro ondas suspeitas de ataques e o debate sobre autocustódia

Uma falha na geração de números aleatórios introduzida durante uma migração de código em 2021 enfraqueceu as seeds criadas por vários modelos e versões de firmware da Coldcard por quase cinco anos. O firmware afetado passou a usar um gerador de números pseudoaleatórios de software previsível, em vez da fonte de hardware prevista, reduzindo o espaço de busca estimado para cerca de 40 bits nos dispositivos Mk2 e Mk3 e para aproximadamente 72 bits nos modelos mais recentes. Atualizar o firmware ou importar uma mnemônica afetada em outra carteira não corrige a seed. A recomendação é gerar uma nova seed com firmware já corrigido ou em outro ambiente confiável e, em seguida, transferir os fundos. A Galaxy Research identificou quatro possíveis ondas de ataque envolvendo uma estimativa de 5.294 endereços e 1.815,75 BTC. Os números se baseiam em padrões de transações on-chain e não correspondem a vítimas verificadas individualmente nem a perdas finais confirmadas. O episódio aponta para uma falha de geração de chaves em versões específicas do firmware da Coldcard, e não para um comprometimento da criptografia subjacente do Bitcoin.