Galaxy Research eleva estimativa de perdas em incidente com Coldcard para US$ 70 milhões

A Galaxy Research, braço de pesquisa da Galaxy Digital, ampliou o mapeamento on-chain do incidente envolvendo carteiras Coldcard após identificar 1.196 endereços de Bitcoin afetados. Em uma janela de 41 minutos, esses endereços perderam 1.082,65 BTC — cerca de US$ 70,2 milhões na cotação vigente no momento das transações. O rastreamento da Galaxy cobre movimentações entre 1h10 e 1h51 (UTC) de 30 de julho, nos blocos 960.183 a 960.191. O intervalo ocorreu aproximadamente 30 horas antes de a Coldcard publicar seu primeiro alerta público de segurança. Principais pontos A Galaxy Research atribui ao incidente 1.196 endereços e perdas de 1.082,65 BTC em 41 minutos. A atividade ocorreu em 30 de julho, entre 1h10 e 1h51 (UTC), nos blocos 960.183–960.191, cerca de 30 horas antes do primeiro comunicado da Coldcard. Estimativas anteriores, do CEO da AnchorWatch, Rob Hamilton, eram menores: 594,48 BTC em uma janela mais estreita de três blocos. Segundo a Galaxy, as transações exibem um padrão on-chain característico — taxa idêntica de 30 satoshis por vbyte e ausência de saída de troco —, mas novos varrimentos podem não repetir a mesma assinatura. Galaxy amplia o alcance do ataque De acordo com a Galaxy Research, as movimentações ligadas ao incidente se concentraram em um "surto" de atividade em 30 de julho. A análise foca endereços associados à violação do Coldcard que foram "varridos" entre 1h10 e 1h51 (UTC). As perdas se distribuíram por uma sequência curta de blocos — do 960.183 ao 960.191 —, o que sugere execução automatizada, com estrutura de transação repetida, e não transferências manuais esporádicas. No momento das saídas, os 1.082,65 BTC somavam aproximadamente US$ 70,2 milhões. O horário reforça a gravidade do episódio: a janela rastreada começa cerca de um dia antes do primeiro alerta público da Coldcard, indicando que os recursos comprometidos foram movimentados cedo e que a resposta do ecossistema ocorreu após o varrimento inicial. Assinatura on-chain ajuda a agrupar transações — com ressalvas Em análise complementar, a Galaxy informou que as transações identificadas compartilham uma assinatura comum. Os varrimentos teriam usado a mesma taxa de 30 satoshis por vbyte e não apresentariam saídas de troco. Para investigadores, esses traços funcionam como uma impressão digital on-chain, facilitando o agrupamento de atividades relacionadas e reduzindo o risco de atribuir transferências não relacionadas ao incidente. A empresa destacou, contudo, que ataques posteriores contra endereços gerados pelo Coldcard podem não preservar o mesmo padrão. Na prática, isso significa que estimativas baseadas apenas em uma estrutura reconhecível de transação podem subestimar perdas adicionais caso varrimentos posteriores tenham alterado taxas ou o comportamento das saídas. Estimativas anteriores eram menores e baseadas em janela mais curta Antes da ampliação feita pela Galaxy, uma análise preliminar de Rob Hamilton, CEO e cofundador da AnchorWatch, estimou que 594,48 BTC — cerca de US$ 38 milhões à época — circularam em 500 transações dentro de uma janela de três blocos. Os números refletiam um recorte mais restrito da atividade on-chain, em um tipo de incidente que costuma evoluir mais rápido do que as investigações iniciais. Com a expansão do conjunto de endereços e do período rastreado em torno do evento de 30 de julho, a Galaxy praticamente dobrou o total de BTC atribuído ao varrimento. A diferença entre estimativas ilustra um desafio recorrente em respostas a incidentes envolvendo autocustódia: delimitar o escopo completo pode exigir dias de rastreamento, clusterização e validação, especialmente quando atacantes reutilizam lógica semelhante em múltiplas transações e destinos. Coinkite reconhece bug de firmware e recomenda migrar seeds A Coinkite, fabricante da Coldcard, assumiu responsabilidade pelo problema de origem. Em publicação no X na sexta-feira, o cofundador Rodolfo Novak disse que a empresa trabalha para determinar a extensão total do caso e confirmou o lançamento de um hotfix para remover um caminho de fallback de software. Novak também ressaltou uma limitação importante: a atualização não protege seeds geradas no firmware vulnerável. Assim, usuários que criaram frases-semente no período afetado foram orientados a transferir os fundos para uma nova seed. A recomendação segue a lógica central de compromissos baseados em seed: se a vulnerabilidade impactou a geração do material sensível ou caminhos de execução associados, atualizar o firmware não torna retroativamente seguras chaves já geradas. O que observar a partir de agora A identificação de um padrão de varrimento oferece uma base mais estruturada para acompanhar atividades relacionadas, mas o alerta da Galaxy — de que ataques futuros podem não repetir a mesma assinatura — indica que o incidente pode continuar evoluindo em sua aparência on-chain. Usuários que suspeitam ter gerado seeds em firmware vulnerável devem priorizar a migração de saldos remanescentes para novas seeds e manter vigilância sobre quaisquer movimentações vinculadas a endereços associados à lógica de varrimento.