Exploit Coldcard: $100M+ em Bitcoin Roubados (2026)

Investidores de Bitcoin que usavam uma das carteiras de hardware mais confiáveis do mercado perderam mais de US$ 100 milhões em um ataque sofisticado que passou despercebido por mais de cinco anos. O ataque, detectado em 30 de julho de 2026, teve como alvo as carteiras Coldcard, fabricadas pela empresa canadense Coinkite. De acordo com a Galaxy Research, pelo menos 1.596 bitcoins—cerca de €88 milhões no momento do relatório, com estimativas subindo para €111 milhões—foram drenados de mais de 7.000 endereços.

O que Aconteceu? Uma Vulnerabilidade Oculta desde 2021

A raiz do problema estava em um bug no firmware introduzido em março de 2021. Os dispositivos Coldcard são projetados para serem o cofre máximo do Bitcoin: pequenas máquinas semelhantes a calculadoras que geram uma frase de recuperação secreta (seed) usada para proteger os fundos. No entanto, uma diretiva de pré-processador mal posicionada fez com que o firmware silenciosamente recorresse a um gerador de números aleatórios baseado em software, fraco, em vez do gerador verdadeiro de números aleatórios (TRNG) por hardware dedicado. O resultado foi que as seeds eram geradas com entropia drasticamente reduzida—tão baixa quanto 40 bits em modelos mais antigos, comparado aos 128 bits esperados—tornando-as práticas para ataques de força bruta.

Pesquisadores de segurança da Block (antiga Square) detalharam como o código falho permitia que atacantes pré-computassem bancos de dados de seeds candidatas e, em seguida, varressem sistematicamente os depósitos em tempo real sem nunca tocar nos dispositivos. «A vulnerabilidade significava que um atacante que nunca teve acesso físico ao Coldcard ainda poderia derivar as chaves privadas e roubar os fundos», observou a equipe da Galaxy.

Como o Ataque se Desdobrou

O roubo ocorreu em múltiplas ondas. O ataque inicial, que durou apenas 41 minutos, viu aproximadamente US$ 70 milhões em bitcoin drenados de cerca de 1.200 endereços. Ondas adicionais se seguiram, incluindo uma varredura de 25 minutos em aproximadamente 500 carteiras, rendendo outros US$ 38 milhões. A Galaxy Research rastreou pelo menos 15 atacantes independentes explorando a mesma falha. O responsável pela maior varredura permanece não identificado.

A Coinkite divulgou a vulnerabilidade em 30 de julho de 2026 e lançou atualizações de firmware de emergência no dia seguinte. No entanto, a empresa enfatizou que atualizar o firmware não corrige as seeds já geradas—usuários afetados devem gerar novas seeds em firmware corrigido e mover seus fundos imediatamente. Em uma declaração pública, a Coinkite alertou: «Os clientes ainda correm o risco de ter suas criptomoedas roubadas. Movam seus bitcoins para um local seguro agora.»

O incidente abalou a confiança no mercado de carteiras de hardware. Por anos, o mantra «não são suas chaves, não são suas moedas» levou os usuários a soluções de autocustódia via carteiras de hardware como a Coldcard. Agora, essa confiança está sendo questionada.

Implicações Mais Amplas para a Segurança Cripto

O ataque à Coldcard ocorre em um ano turbulento para a segurança das criptomoedas. Em fevereiro de 2025, a exchange Bybit sofreu um hack de US$ 1,5 bilhão atribuído a hackers norte-coreanos patrocinados pelo Estado. Outro incidente viu US$ 100 milhões roubados de contas de celebridades. Esses eventos reacenderam o debate sobre se, ocasionalmente, a custódia em exchanges centralizadas pode ser mais segura do que a autocustódia.

Figuras da indústria se manifestaram. Changpeng «CZ» Zhao, ex-CEO da Binance, comentou sobre a ironia de um dispositivo comercializado como a opção mais segura poder conter uma falha tão profunda. Enquanto isso, as melhores práticas de segurança para bitcoin estão sendo reexaminadas, com especialistas agora enfatizando a importância de adicionar entropia extra através de lançamentos de dados ou frases-senha BIP-39 fortes.

FAQ

O que causou o hack da carteira Coldcard?

Um bug no firmware introduzido em março de 2021 fez com que os dispositivos Coldcard gerassem seeds de recuperação usando um gerador de números aleatórios por software, fraco, em vez do TRNG de hardware seguro. Isso tornou as seeds previsíveis e permitiu que atacantes quebrassem as chaves privadas por força bruta.

Quanto bitcoin foi roubado no ataque à Coldcard?

Até 12 de agosto de 2026, a Galaxy Research tinha «alta confiança» de que pelo menos 1.596 BTC (mais de €88 milhões) foram roubados de aproximadamente 7.300 endereços. As perdas totais podem chegar a €111 milhões.

As carteiras Coldcard ainda são seguras para uso?

O firmware atualizado (lançado em 31 de julho de 2026) corrige a falha para a geração futura de seeds. No entanto, qualquer seed criada em firmware afetado (março de 2021–julho de 2026) está potencialmente comprometida. Usuários devem gerar novas seeds em dispositivos corrigidos e transferir todos os fundos.

Quem está por trás do hack da Coldcard?

Os atacantes permanecem desconhecidos. A Galaxy Research identificou pelo menos 15 atores independentes explorando a mesma vulnerabilidade, sugerindo que a falha se tornou amplamente conhecida em círculos criminosos após a primeira onda.

Isso afeta outras carteiras de hardware?

Não. A vulnerabilidade é específica para versões de firmware da Coldcard com a verificação de pré-processador falha. Carteiras da Ledger, Trezor e outros fabricantes não são afetadas.