- Atacante da terceira onda moveu cerca de 10% do BTC roubado
- THORChain devolveu parte das ordens e forçou retentativas do hacker
- Prejuízo total do bug do Coldcard chega a US$ 114,7 milhões em BTC
O hacker associado à terceira onda de roubos em carteiras Coldcard começou a converter parte do Bitcoin desviado em Ether nesta quarta-feira (3). A operação foi feita pela THORChain, protocolo de swap entre blockchains sem custódia, e foi identificada pelo pesquisador Alex Thorn, da Galaxy Research, em publicação no X.
Segundo Thorn, o atacante movimentou aproximadamente 10% do BTC que controla. Os outros 90% seguiam parados nos endereços originais no momento do alerta. É a primeira vez que fundos ligados às três primeiras ondas de ataque deixam as carteiras iniciais do invasor.
O destino final da troca é um novo endereço na rede Ethereum, já compartilhado com autoridades e empresas do setor que monitoram os ativos roubados. A cotação atual do BTC é de US$ 77.570 (R$ 399.539), enquanto o ETH opera a US$ 2.393 (R$ 12.326).
THORChain recusa parte dos swaps e força retentativas
Nem todas as ordens do atacante foram concluídas. Thorn observou que o hacker enfrentou problemas técnicos ao tentar processar as operações. “O hacker parece estar tendo dificuldades para trocar todos os fundos pela THORChain — ele continua sendo reembolsado e continua tentando de novo”, escreveu o pesquisador.
A causa exata dos reembolsos não foi confirmada. Entre as hipóteses estão limites de liquidez do protocolo, parâmetros mal configurados na transação ou mecanismos automáticos de segurança do próprio DEX. Nenhum diagnóstico técnico oficial foi publicado até o momento.
O uso da THORChain é estratégico. O protocolo permite converter BTC nativo em ETH sem depositar em corretora centralizada, o que dificulta o bloqueio dos fundos. Ainda assim, cada movimento fica registrado publicamente, e investigadores conseguem seguir o rastro até que os ativos entrem em algum ponto de identificação — como uma exchange com KYC.
Prejuízo somou 1.789 BTC em 8.865 carteiras
A Galaxy Research atribuiu a exploração da falha do Coldcard à perda de 1.789,28 BTC distribuídos em 8.865 endereços. Pela cotação vigente na data do roubo, o rombo foi estimado em US$ 114,7 milhões. Em 25 de agosto, cerca de 87% desses recursos ainda estavam parados nas carteiras dos atacantes.
A conta parcial da Galaxy inclui 221 relatos de vítimas, somando 790,72 BTC. Outros endereços afetados foram identificados apenas por análise on-chain, sem denúncia direta. Há também múltiplos atacantes envolvidos — o que agora usa a THORChain é apenas um deles.
A CertiK reportou em agosto que carteiras ligadas ao incidente enviaram 64 BTC e 200 ETH para misturadores de criptomoedas. Um dos invasores acumula 1.159 BTC intocados; outro começou a lavar valores menores. As trajetórias diferentes reforçam a leitura de que grupos distintos exploraram a mesma vulnerabilidade em paralelo.
Falha de firmware exige troca de seed nos aparelhos
A brecha nasceu da geração de sementes fracas em versões do firmware Coldcard distribuídas a partir de 2021. A entropia insuficiente permitiu que atacantes calculassem chaves privadas remotamente, sem contato físico com o dispositivo. Ou seja: cofres frios que jamais foram conectados à internet acabaram drenados.
A Coinkite, fabricante do Coldcard, já liberou firmware corrigido para os modelos afetados. Mas a atualização não conserta seeds antigas — o usuário precisa gerar uma nova frase de recuperação e transferir os satoshis para endereços derivados da carteira nova.
Em 29 de agosto, uma carteira criada por pesquisadores com entropia propositalmente baixa foi esvaziada em minutos, mostrando que o scanner automatizado do atacante segue ativo quase um mês após a onda principal. O caso reforça um alerta importante para o mercado brasileiro, onde marcas como Tangem e concorrentes vêm ampliando presença: hardware wallet não substitui auditoria de firmware.
Para o investidor local que usa self-custody, a lição prática é conferir a versão do firmware, migrar seeds geradas em builds vulneráveis e — sempre que possível — adicionar entropia manual via dados na criação da carteira. A investigação segue aberta, e nenhum responsável foi identificado publicamente.
