- Galaxy Digital estima US$ 70 milhões drenados de carteiras Coldcard afetadas
- Ataque durou 41 minutos e envolveu seis blocos na rede Bitcoin
- Coinkite assumiu falha e liberou atualizações de firmware para Mk3, Mk4, Mk5 e Q
Pesquisadores da Galaxy Digital revisaram o rombo provocado pela falha de firmware da carteira Coldcard e cravaram um número que supera em quase duas vezes as primeiras estimativas, US$ 70 milhões em Bitcoin foram drenados de endereços gerados pelo hardware wallet da Coinkite. O levantamento contradiz balanços iniciais que apontavam prejuízo próximo de US$ 38 milhões.
O ataque explorou um bug que reduzia drasticamente a aleatoriedade na geração da frase-semente. Na prática, a carteira caía em um caminho de software alternativo em vez de usar o gerador de números aleatórios de hardware, tornando as chaves privadas previsíveis para quem conhecesse a falha.
Seis blocos e 41 minutos de drenagem
Segundo o relatório da Galaxy, a operação inicial de saque durou 41 minutos e se distribuiu por seis blocos da rede Bitcoin. Três desses blocos não registraram qualquer atividade de varredura, o que sugere que o atacante enviou as transações em lotes, e não em fluxo contínuo.
O perfil das vítimas também chama atenção. A maior parte dos endereços atingidos guardava menos de 1 BTC, mas o volume financeiro se concentrou em carteiras entre 1 e 50 BTC. É a assinatura clássica de autocustódia individual, não de tesourarias corporativas ou saldos de exchange.
A Galaxy alertou que novos ataques podem ocorrer enquanto usuários não migrarem seus fundos para endereços gerados com firmware corrigido. As chaves comprometidas continuam vulneráveis, independentemente de a carteira física estar guardada em cofre.
Coinkite assume culpa e libera firmware
A Coinkite, fabricante da Coldcard, publicou nota admitindo responsabilidade integral pelo bug e pediu desculpas aos usuários afetados. A empresa lançou atualizações emergenciais para todos os modelos comprometidos, versão 4.2.0 ou superior para o Mk3, 5.6.0 ou superior para Mk4 e Mk5, e 1.5.0Q ou superior para o Coldcard Q.
As correções eliminam o caminho vulnerável e forçam o uso do gerador de números aleatórios verdadeiro embutido no hardware. Mas há um detalhe crítico, atualizar o firmware não protege sementes já criadas. Quem gerou recovery phrase na versão vulnerável deve criar nova seed corrigida e transferir todo saldo.
O caso se soma a uma sequência de alertas recentes envolvendo o mesmo fabricante. A comunidade técnica já havia mapeado falhas críticas em versões anteriores que colocavam mais de 1.082 BTC sob risco, e a própria Coinkite reconheceu semanas atrás a origem do primeiro levantamento de US$ 38 milhões em BTC roubados por meio da mesma vulnerabilidade.
Autocustódia brasileira entra em alerta
O rombo levanta um problema pouco discutido no mercado local. O Brasil concentra parcela relevante de holders que abandonaram exchanges depois da proposta do Banco Central de reter stablecoins por 24 horas e migraram para autocustódia justamente em hardware wallets. Coldcard, embora menos popular que Ledger e Trezor no varejo brasileiro, atende ao público avançado traders, mesas OTC e investidores com posições relevantes que preferem soluções open source.
Não há levantamento público brasileiro, mas carteiras de 1 a 50 BTC refletem o perfil investidor. Em reais, cada BTC atingido equivale a mais de R$ 500 mil pela cotação do dólar em R$ 5,0789, considerando o preço médio do Bitcoin nos últimos meses.
Empresas de análise on-chain apontam que endereços vinculados ao atacante ainda não foram totalmente movimentados. Rastreabilidade permite exchanges bloquearem depósitos suspeitos, mas fundos roubados migram rapidamente para mixers e pontes cross-chain.
