- Ledger e Trezor afirmam que carteiras não foram afetadas pelo exploit da Coldcard
- Falha da Coinkite reduziu entropia de 128 para 40 bits e permitiu ataque de força bruta
- Bitcoin caiu 3% e tocou US$ 62,4 mil após medo em torno da auto-custódia
As fabricantes de hardware wallets Ledger e Trezor vieram a público nesta semana para se desassociar do exploit que drenou cerca de US$ 38 milhões em Bitcoin de dispositivos da Coldcard, produto da canadense Coinkite. O objetivo das duas empresas foi conter o pânico entre usuários de auto-custódia, que passaram a questionar a segurança de qualquer carteira fria após o incidente.
O ponto sensível é técnico. A Coldcard compartilha com outras fornecedoras parte do desenho envolvendo o gerador de números aleatórios (TRNG), componente que produz a entropia usada para criar seed phrases. Como esse chip aparece em outros produtos do mercado, investidores temeram um efeito dominó.
Ledger cita entropia de 256 bits contra os 40 bits da falha
A Ledger foi enfática em publicação nas redes sociais. A empresa afirmou que utiliza um sistema com 256 bits de complexidade matemática na geração de seeds, o que torna a quebra por força bruta computacionalmente inviável dentro do horizonte tecnológico atual.
A brecha da Coldcard, por outro lado, rebaixou o padrão de 128 para 40 bits. Nesse patamar, qualquer atacante minimamente equipado consegue varrer todo o espaço de chaves possíveis em pouco tempo. Foi exatamente isso que ocorreu: o hacker rodou combinações até esvaziar as carteiras vulneráveis.
A Trezor seguiu a mesma linha e publicou comunicado direto, “seus fundos estão seguros”. A empresa reforçou que o problema é exclusivo do firmware customizado da Coinkite e que seu código não compartilha aquela lógica de geração de aleatoriedade. Detalhes técnicos da apuração já haviam sido divulgados pela investigação da Galaxy Digital, que estimou perdas ainda maiores em versões antigas do produto.
Auto-custódia perde força e ETF vira alternativa
O episódio abriu uma discussão pública sobre os limites da auto-custódia. Udi Wertheimer, do coletivo Taproot Wizards, escreveu que guardar as próprias chaves está se tornando “preocupantemente irrealista”, especialmente com modelos de inteligência artificial capazes de automatizar ataques.
Do lado institucional, o CEO da Coinbase, Brian Armstrong, defendeu a técnica de air-gapping como o padrão mais seguro. É a mesma prática usada pela exchange para custodiar os ETFs à vista de Bitcoin as chaves nunca tocam um dispositivo conectado à internet, o que elimina vetores de ataque remoto.
Nem todos, porém, viram o exploit como bom marketing para os fundos negociados em bolsa. Nesta sexta, os produtos registraram uma saída líquida de US$ 265 milhões, puxada por IBIT e FBTC. O sentimento fraco pesou mais do que a suposta migração de investidores assustados com carteiras físicas.
Bitcoin toca US$ 62,4 mil e sentimento vai a mínima de 4 meses
O preço reagiu. O Bitcoin caiu cerca de 3% e tocou a mínima de duas semanas em US$ 62,4 mil, antes de recuperar parte do terreno e voltar acima de US$ 63 mil. Santiment mostra sentimento da rede no pior nível em quatro meses, semelhante à cautela de abril.
Caso reforça que guardar seed phrase offline não elimina riscos quando o firmware nasce originalmente comprometido. Auditoria de código aberto e histórico de atualizações contam tanto quanto o material físico do backup.
