- Galaxy Research contabiliza US$ 115 milhões em Bitcoin roubados de usuários Coldcard
- Falha no firmware do Coldcard Mk3 desde 2021 permitiu adivinhar seed phrases
- Prejuízo total pode ultrapassar US$ 130 milhões, segundo estimativa da consultoria
O ataque contra usuários das carteiras Coldcard, da fabricante canadense Coinkite, já provocou perdas superiores a US$ 115 milhões em Bitcoin. Os dados são da Galaxy Research, que ouviu mais de 200 vítimas para mapear a atuação dos criminosos e apurar o volume real desviado desde o final de julho.
Os cálculos consideram o preço do BTC no momento de cada roubo. A consultoria alerta que o número continua subindo à medida que novas vítimas aparecem e que o prejuízo consolidado pode ultrapassar US$ 130 milhões. A empresa também estima que ao menos 15 grupos distintos passaram a explorar a mesma vulnerabilidade em paralelo, sem coordenação entre si.
Falha de firmware que durou quatro anos
A raiz do problema está em um bug introduzido no firmware do Coldcard Mk3 a partir da versão 4.0.1, liberada em março de 2021. Quando o usuário gerava uma nova seed phrase, o dispositivo deveria recorrer ao gerador físico de números aleatórios embutido no hardware. Em vez disso, o processo caía silenciosamente em um PRNG por software, um gerador pseudoaleatório muito mais fraco e previsível.
O resultado é técnico, mas devastador, como o espaço de possibilidades ficou drasticamente reduzido, atacantes conseguem essencialmente adivinhar as chaves privadas geradas naquele período. Coinkite reconheceu em comunicado que a falha “passou despercebida silenciosamente” e que seu impacto potencial “crescia a cada nova versão” lançada do produto.
O padrão de roubos também revela o tamanho do estrago. Segundo levantamento anterior da Galaxy, a moeda média desviada estava parada havia 3,5 anos, e 88% dos fundos tinham no mínimo um ano de idade. Ou seja, são carteiras de holders de longo prazo, muitos deles com custódia própria justamente por desconfiar de exchanges, um perfil que agora amarga o cenário oposto ao que tentava evitar.
Holders migram para exchanges após o ataque
O ataque começou em 31 de julho e ganhou tração nas semanas seguintes. Coinkite e parte da comunidade Bitcoin passaram a orientar donos de Coldcards vulneráveis a atualizar o firmware imediatamente ou mover seus fundos para outra solução de custódia. Em nota, a empresa recomendou explicitamente a saída dos ativos do dispositivo enquanto a investigação avança.
Na prática, muitos investidores reagiram enviando seus BTCs para corretoras centralizadas, movimento que aparece nos dados on-chain e contraria o mantra “not your keys, not your coins” tão presente entre usuários de hardware wallets. Detalhes do levantamento estão na publicação da Galaxy Research no X, que segue atualizando o balanço conforme novas vítimas são identificadas.
O episódio se soma a uma sequência ruim para o setor de segurança em cripto. Relatório recente da CertiK apontou que o ecossistema já perdeu US$ 1,31 bilhão em 344 ataques ao longo do ano, com hardware wallets deixando de ser vistas como zona neutra. Semanas antes, a BitBox também precisou corrigir duas falhas graves em seu firmware, e a SafePal enfrentou vazamento de dados de quase 40 mil clientes.
Alerta chega em meio a novo cerco regulatório no Brasil
Para o investidor brasileiro, o timing é sensível. O Banco Central endureceu o marco de prestadoras de serviços de ativos virtuais e vai obrigar empresas sem autorização a encerrar operações em outubro, o que empurra parte do mercado local a repensar onde e como guardar os ativos. A discussão sobre autocustódia versus exchange regulada deixa de ser filosófica e passa a envolver risco técnico concreto, como o exposto pelo caso Coldcard.
Vale lembrar que a fabricante ainda não divulgou lista definitiva de firmwares afetados nem mecanismo de compensação. Usuários com dispositivos comprados entre 2021 e 2024 estão dentro da janela de risco. A recomendação em vigor continua sendo a mesma emitida pela Coinkite: gerar uma nova seed em ambiente seguro e transferir os saldos antes que os próximos endereços entrem no radar dos atacantes.
