Falha em carteiras frias Coldcard drena US$ 86 milhões em Bitcoin

A ideia de que Bitcoin guardado offline é intocável levou um golpe. Segundo a The Economic Times, reportando dados da Bloomberg, hackers exploraram uma falha de software nas carteiras físicas Coldcard, da canadense Coinkite Inc., e vêm drenando dezenas de milhões de dólares em um ataque ainda em curso.

O que aconteceu

Na semana passada, a Coinkite notificou usuários de seus dispositivos Coldcard de que uma falha nas chaves que protegem seus Bitcoin havia comprometido algumas carteiras. Até a segunda-feira, cerca de 1.367 tokens no valor de aproximadamente US$ 86 milhões haviam sido retirados de mais de 4.500 carteiras, segundo a Galaxy Research. Relatos de sexta-feira apontavam perdas em torno de US$ 38 milhões, número que subiu rapidamente ao longo do fim de semana.

O Coldcard é um dispositivo de hardware para armazenar Bitcoin em carteiras frias (cold wallets), consideradas o lugar mais seguro para guardar cripto justamente por ficarem isoladas da internet.

A raiz do problema: aleatoriedade quebrada

Segundo relatório da equipe de engenharia da Block Inc., a falha estava na forma como a Coinkite implementou o gerador de números aleatórios usado para produzir a seed phrase, a longa sequência de palavras que dá acesso a uma carteira.

A aleatoriedade verdadeira é componente crítico de qualquer segurança criptográfica. Mas as Coldcard tinham um mecanismo de fallback que gerava chaves a partir de valores determinísticos, como o número de série do dispositivo. Resultado: a seed phrase se tornava previsível, e os atacantes conseguiram recalcular sistematicamente as chaves e esvaziar as carteiras.

"Isso expõe a falácia de que sua cripto está offline", disse Aneirin Flynn, CEO da empresa de cibersegurança Failsafe, à Bloomberg. "O dispositivo é apenas responsável por gerar suas senhas, e se a matemática subjacente está quebrada, então suas senhas podem sofrer engenharia reversa."

A Coinkite confirmou em seu site que fundos controlados por seeds geradas no firmware afetado estão em risco, e afirmou já haver firmware corrigido disponível para todos os modelos e faixas de release afetados.

O impacto sobre os usuários

Um dos afetados, Jonathan Goodman, contou à Bloomberg que a princípio achou que não seria atingido, mas checou a carteira mesmo assim. "No momento em que carregou, eu soube que estava ferrado, porque vi linhas vermelhas de saques. Entre 21h36 e 21h43 do dia 29 de julho, minhas três carteiras foram completamente esvaziadas." Ele disse que não voltará a investir em Bitcoin nem a usar carteiras frias.

Números do ano e o que dizem os especialistas

Apesar do caso, o volume total de cripto roubado em 2026 está abaixo do ano anterior. Segundo relatório da TRM Labs, o primeiro semestre acumulou US$ 972 milhões em perdas, menos da metade dos US$ 2,3 bilhões roubados no mesmo período de 2025. Ainda assim, o número de ataques subiu para 207, o maior registrado em qualquer semestre.

Ari Redbord, chefe global de políticas da TRM, apontou que comprometimentos de infraestrutura e de chaves representam cerca de 15% dos incidentes, mas concentram 76% das perdas. "O Coldcard mostra que a autocustódia move o risco, não o remove", disse.

O que muda para quem constrói no Brasil

Para exchanges, provedores de custódia e times que integram carteiras em produtos brasileiros, o episódio é um lembrete concreto de que a segurança de sistemas cripto depende de fundamentos criptográficos corretos, e não apenas do isolamento físico. Alguns pontos práticos a revisar:

• Geração de aleatoriedade: auditar como as bibliotecas e dispositivos usados produzem entropia. Fallbacks determinísticos, como derivar chaves de número de série ou timestamps, são uma armadilha clássica.
• Dependência de firmware de terceiros: mapear quais componentes de hardware wallet seus clientes ou sua plataforma dependem e ter processo para propagar atualizações críticas rapidamente.
• Comunicação de incidentes: o caso escalou de US$ 38 milhões para US$ 86 milhões em um fim de semana, o que reforça a necessidade de canais claros de aviso a usuários.

Para times que operam sob supervisão regulatória no país, a lição de Redbord vale como princípio de arquitetura: mover a custódia para o usuário final não elimina o risco, apenas o desloca.

Fonte: ET Tech (Índia)