- White hats transferiram 52,37 BTC para trust em Wyoming criado para devolver fundos
- Galaxy Digital calcula 1.789,28 BTC drenados desde 31 de julho
- Coinkite admite que bug de firmware gerava seeds com aleatoriedade fraca
Um grupo de hackers de chapéu branco esvaziou carteiras vulneráveis da Coldcard antes que criminosos chegassem primeiro. O total resgatado chega a 52,37 BTC, cerca de US$ 4,5 milhões — algo próximo de R$ 23 milhões na cotação atual do dólar, a R$ 5,12.
A informação partiu de Alex Thorn, chefe de pesquisa da Galaxy Digital, em publicação no X feita nesta segunda-feira. Segundo ele, o montante está agora sob custódia de um endereço controlado pelo Crypto Recovery Trust, estrutura fiduciária registrada no estado americano de Wyoming.
O valor corresponde a apenas 2,8% de tudo que foi movimentado no episódio. É pouco perto do rombo total.
Galaxy contabiliza 1.789 BTC drenados desde julho
O rastreamento feito pela Galaxy Digital aponta 1.789,28 BTC perdidos nos ataques iniciados em 31 de julho. Aos preços de hoje, com o Bitcoin a US$ 86.523, o prejuízo bate em US$ 154,1 milhões.
A causa foi um defeito de firmware admitido pela própria fabricante. A canadense Coinkite explicou que, em determinadas condições, o dispositivo abandonava o gerador de números aleatórios por hardware e recorria a um PRNG por software — ou seja, aleatoriedade fraca, previsível.
Com isso, adivinhar seed phrases deixou de ser impossível e virou questão de poder computacional. O atacante não precisava tocar no dispositivo físico nem enganar o dono. Bastava varrer o espaço reduzido de chaves.
Coinkite reconheceu em comunicado que a falha “passou despercebida silenciosamente” e que o potencial de estrago “crescia a cada novo lançamento” de produto. Dias após os primeiros saques indevidos, a empresa pediu que usuários atualizassem o firmware ou migrassem os fundos.
Nick Bax confirma resgate de 50 BTC em julho
Nick Bax, da Ump Labs, revelou no início deste mês ter participado da operação. Ele afirmou que os cerca de 50 BTC estavam “iminentemente prestes a serem roubados” por causa do defeito de entropia.
Bax acrescentou que o trust de Wyoming garantirá a devolução aos legítimos donos. A jurisdição não foi escolhida ao acaso: Wyoming aprovou desde 2019 um conjunto de leis específicas para custódia de ativos digitais, o que dá amparo jurídico a estruturas desse tipo — algo que no Brasil ainda não existe de forma equivalente.
Aqui, uma operação de white hat semelhante viveria em zona cinzenta. A Lei 14.478/2022 e o marco em construção pelo Banco Central tratam de prestadores de serviço de ativos virtuais, não de resgates emergenciais por terceiros. Mover moedas alheias, mesmo com intenção declarada de proteção, pode esbarrar em tipificação penal antes de qualquer discussão sobre boa-fé.
Investidores migram para exchanges após o episódio
O efeito colateral mais curioso do caso é comportamental. Parte dos usuários atingidos pelo susto passou a transferir saldos para corretoras centralizadas — o movimento oposto ao mantra de autocustódia que sustenta a cultura Bitcoin desde o início.
Faz sentido no curto prazo e cria risco no longo. Quem sai de um hardware wallet furado e entra numa exchange troca risco de software por risco de contraparte. A memória da FTX e da Mt. Gox segue fresca o suficiente para lembrar que custódia terceirizada tem seu próprio histórico de perdas.
Para o investidor brasileiro, o episódio reforça um ponto prático: dispositivo de hardware não é infalível, e verificar a entropia da seed gerada — por exemplo, criando a semente com dados físicos ou por método externo ao aparelho — deixou de ser paranoia de veterano. Falhas desse tipo já apareceram em outros pontos do ecossistema, como na falha na Lightning Network divulgada recentemente, e em alertas de malware emitidos por grandes corretoras.
Nenhum dos afetados recuperou fundos até agora por via judicial. A devolução via trust depende de os donos originais provarem titularidade das chaves comprometidas — processo que, na prática, costuma se arrastar por meses.
