Coldcard sofre quarta onda de ataques coordenados; 388,9 BTC são desviados em 14 blocos

Usuários da Coldcard voltaram a ser alvo de uma quarta onda de roubos organizada — e, desta vez, o volume não é marginal. Alex Thorn, chefe de pesquisa da Galaxy Research, apontou um novo pico de atividade maliciosa que drenou cerca de 388,9 BTC de 462 endereços vítimas em apenas 14 blocos, do 960.778 ao 960.792. Segundo a Galaxy Research, o ataque gerou 218 transações que concentraram os bitcoins em 216 destinos inéditos na blockchain. O volume transacionado saltou para aproximadamente 45 vezes o padrão anterior ao incidente, reforçando o caráter deliberado e estruturado da operação. O alerta, divulgado no relatório original, indica que parte dos valores já foi rastreada para endereços de "segunda etapa", enquanto transações semelhantes ainda aguardam confirmação no mempool, sugerindo que a varredura não foi totalmente concluída. Dados on-chain mostram que as transações saíram com opt-in de Replace-by-Fee (RBF), o que pode abrir uma janela limitada para quem agir rapidamente. Em teoria, vítimas com transações de saída ainda pendentes e substituíveis podem tentar publicar uma transação concorrente para um endereço seguro, elevando a taxa para priorizar a confirmação. Na prática, o prazo é curto e exige conhecimento técnico; para muitos, os fundos já não são recuperáveis. O que diferencia esta onda de furtos oportunistas é a coordenação e a velocidade. Os 462 endereços foram atingidos em um intervalo estreito de blocos, e o fluxo foi direcionado a carteiras nunca usadas antes. A combinação de endereços "novos", consolidação em alta velocidade e volume muito acima do normal aponta para automação e scripts pré-planejados, não para uma ação manual. A ocorrência no fim de semana também pode ter reduzido a vigilância dos usuários. A Galaxy Research lembra que não se trata do primeiro episódio. Ondas anteriores identificaram três campanhas distintas mirando endereços gerados pela Coldcard. No total, essas ofensivas teriam drenado 1.367,05 BTC de 4.585 endereços, avaliados em cerca de US$ 88,6 milhões no momento dos roubos. Após os incidentes anteriores, a Coldcard reconheceu uma vulnerabilidade de firmware que permitiria a atacantes derivar chaves privadas a partir de seeds criadas em dispositivos afetados. A fabricante interrompeu envios e destruiu todo o estoque remanescente de dispositivos COLDCARD com o firmware vulnerável. Produtos Satscard, Opendime e Tapsigner não foram impactados. A empresa disponibilizou um firmware corrigido que protege seeds geradas a partir da atualização, mas a correção não é retroativa. Qualquer seed criada no firmware vulnerável permanece comprometida. A orientação é direta: gerar uma nova seed no firmware corrigido e mover imediatamente todos os fundos vinculados às seeds antigas. A quarta onda sugere que muitos usuários ainda não fizeram essa migração, e os atacantes estão explorando essa demora de forma sistemática. O próprio processo de migração na autocustódia impõe fricção: trocar a seed implica mudar endereços, ajustar carteiras de software conectadas, configurações de multisig e rotinas de backup. Para quem ainda mantém saldo em seeds originadas no firmware vulnerável, a recomendação reforçada pela Galaxy Research é agir com urgência: retirar os fundos agora, usar taxas acima do habitual para acelerar confirmações e, quando possível, explorar o RBF. O padrão observado nesta quarta rodada indica que os atacantes monitoram a rede em busca de saldos remanescentes. Além do impacto imediato, o caso expõe riscos de cadeia de suprimentos e de ciclo de vida inerentes à autocustódia. Quando uma falha na geração de seeds permanece despercebida por meses, a limpeza tende a ser lenta e incompleta. O fato de quatro ondas distintas terem ocorrido, espaçadas por meses, sugere um agente paciente e um método confiável para relacionar seeds a endereços — possivelmente com base em uma lista extraída do período de aleatoriedade enfraquecida. Ainda não está claro se o atacante possui a lista completa de seeds comprometidas ou apenas um subconjunto, nem se existem vulnerabilidades adicionais em versões anteriores não divulgadas. A continuidade dos ataques indica que o universo de alvos pode ser grande, e os 462 endereços desta vez podem ser apenas mais um lote. Se a varredura continuar, as perdas totais podem aumentar. Para o mercado de hardware wallets, o episódio reforça que auditorias de firmware e comunicação transparente de falhas não são opcionais: são o núcleo da promessa de segurança do produto.