- Empresário canadense perde 18,25 BTC em janela de sete minutos
- Galaxy Research vincula 4.585 endereços e 1.367 BTC ao mesmo exploit
- Falha remonta a 2021 e afeta seeds geradas pela Coldcard
Um empresário canadense viu 18,25 BTC deixarem suas carteiras em uma janela de sete minutos, na noite de 29 de julho de 2026. O prejuízo passa de US$ 1,6 milhão e integra uma onda de ataques que já drenou 1.367,05 BTC de dispositivos Coldcard, segundo levantamento da Galaxy Research.
Jonathan Goodman guardava o hardware wallet em um cofre bancário. Nunca compartilhou a seed phrase. Mantinha os dispositivos isolados de qualquer conexão com a internet. Fez tudo o que os manuais de autocustódia recomendam e ainda assim perdeu tudo.
O caso reabre uma discussão incômoda no ecossistema Bitcoin, se o padrão-ouro da segurança pessoal pode falhar por defeito de fábrica, o que sobra para o investidor comum?
Sete minutos entre 9h36 e 9h43
Goodman estava em sua casa de campo quando ouviu falar de um problema mais amplo envolvendo a Coldcard. Achou que não seria afetado. Abriu o software Wasabi para conferir os saldos e encontrou uma sequência de transações vermelhas de saída.
Entre 21h36 e 21h43 daquela quarta-feira, todas as carteiras sob seu controle foram esvaziadas. Ele registrou boletim de ocorrência com a polícia e comunicou o caso à Ontario Securities Commission, mas admite que as chances de recuperação são mínimas.
A raiz do problema, segundo a Galaxy Research, é uma falha de 2021 no código que gera as frases-semente em determinados modelos da Coldcard. Atacantes teriam usado inteligência artificial para acelerar tentativas de força bruta contra o espaço de chaves comprometido. Já cobrimos a admissão da fabricante sobre o vínculo entre o firmware e os roubos anteriores.
Galaxy mapeia 4.585 endereços drenados
A Galaxy Research identificou três ondas de ataque com padrão semelhante. Somadas, envolvem 4.585 endereços de origem e o total de 1.367,05 BTC transferidos cerca de US$ 88,6 milhões no momento do levantamento.
As duas primeiras ondas apresentam transações com estrutura parecida e podem ter o mesmo operador por trás. A terceira difere em tática e sugere um ator distinto, ou pelo menos um kit atualizado, explorando o mesmo espaço de chaves fracas. O Bitcoin roubado permanece parado em endereços dos atacantes, sem movimentação posterior.
Um dado chama atenção nos números da Galaxy, os saldos drenados estavam parados havia, em média, 3,18 anos. Ou seja, as vítimas são majoritariamente HODLers de longo prazo, não instituições o perfil que mais confia no cold storage como último refúgio.
Alex Thorn, chefe de pesquisa da Galaxy, publicou os dados em sua conta no X e afirmou que os ataques parecem estar em andamento. Ele pediu que usuários de setups potencialmente vulneráveis migrem os fundos imediatamente. O executivo classificou o episódio como um golpe na narrativa da autocustódia e cobrou revisão nos critérios de recomendação para amigos e familiares.
Método padrão da Coldcard sob suspeita
O analista Shanaka Anslem Perera chamou atenção para uma ironia na documentação oficial da Coldcard. O manual descreve o método padrão de geração de seed baseado em entropia do próprio hardware como o mais confiável, e o classifica como baixo risco ao usuário.
Alternativas existem no mesmo aparelho. É possível combinar a saída do hardware com rolagens de dados, ou usar apenas os dados, opção que, segundo o próprio manual, elimina qualquer necessidade de confiar no dispositivo. A maioria absoluta dos donos, no entanto, seguiu o caminho padrão. Esse é justamente o método que a Galaxy agora vincula às perdas.
Para o investidor brasileiro, o alerta tem peso adicional. Grande parte dos holders locais que migraram valores de exchanges como Mercado Bitcoin e Foxbit para cold storage após episódios como o colapso da FTX escolheram a Coldcard justamente pela reputação de rigor técnico e código auditável. A recomendação prática é clara, seeds geradas em Coldcards com firmwares anteriores a 2022 devem ser aposentadas, com transferência dos saldos para carteiras criadas em dispositivos atualizados ou por meio de entropia adicional via dados. Também acompanhamos o alerta público de Changpeng Zhao sobre o mesmo exploit e a resposta de Ledger e Trezor, que negam vulnerabilidades semelhantes em seus firmwares.
