Falha em hardware wallets Coldcard leva a roubo de mais de US$ 130 milhões em cripto

Firmas de segurança em blockchain relatam um roubo em andamento de criptomoedas armazenadas em hardware wallets Coldcard, fabricadas pela Coinkite. Segundo a Galaxy Research, citada pelo TechCrunch, pelo menos uma dúzia de hackers diferentes estaria mirando donos de Bitcoin que usam o dispositivo, e não está claro quem está por trás dos ataques.

Até terça-feira, a Galaxy Research estimava cerca de US$ 130 milhões subtraídos. Tom Robinson, cofundador e cientista-chefe da firma de monitoramento Elliptic, disse ao TechCrunch que o número é aproximadamente correto.

Por que este caso chama atenção

O ponto de usar um produto como o Coldcard é justamente que ele deveria ser uma das formas mais seguras de guardar cripto. O usuário armazena a chave secreta (a seed phrase, essencialmente uma senha) em um dispositivo que não se conecta à internet. Os bitcoins seguem na blockchain, mas protegidos por uma senha que vive exclusivamente offline. É o conceito de carteira "fria" (cold wallet), em oposição às "quentes" (hot wallets) que ficam online, como apps, extensões de navegador e contas em exchanges como Binance ou Coinbase.

A questão é que os atacantes descobriram uma falha em como as Coldcard geravam as seed phrases dos usuários: elas eram previsíveis. A constatação veio de pesquisadores de segurança da Block. Uma vez entendida a falha, bastou aos hackers fazer brute-force e gerar as seed phrases das vítimas.

A analogia do TechCrunch é útil: sabendo como fabricar as chaves, os invasores não precisaram arrombar o cofre que as guarda. Eles descobriram como cortar chaves em escala.

O relato de uma vítima

Jonathan Goodman, que afirma ter tido US$ 1,6 milhão roubados de sua Coldcard, resumiu a frustração em um post no X: "Talvez o mais difícil disso seja que eu fiz tudo certo. Nunca compartilhei minha seed phrase com ninguém. Meus dispositivos nunca tocaram a internet. Tudo ficava guardado em vários cofres e caixas de segurança."

E completou: "Nada disso importou. Tudo por causa de uma linha no código de 2021 que tinha uma vulnerabilidade."

A resposta da fabricante

Em um comunicado publicado na quinta e atualizado no sábado, a Coinkite alertou os usuários sobre a falha, pediu que atualizassem os dispositivos e depois "migrassem" para uma nova seed phrase. A empresa não respondeu de imediato ao pedido de comentário do TechCrunch.

O episódio se soma a um ano difícil para o setor: segundo a firma de monitoramento TRM Labs, houve mais de 200 ataques a empresas de criptomoeda em 2026, com perda total superior a US$ 950 milhões.

O que isso muda para quem constrói no Brasil

Para devs brasileiros que trabalham com blockchain, custódia de ativos ou integração com wallets, o caso reforça uma lição de engenharia de segurança que vai além de cripto: a qualidade da fonte de aleatoriedade é crítica. Uma seed phrase (ou qualquer chave criptográfica) só é segura se for gerada a partir de entropia genuína e imprevisível. Geradores de números pseudoaleatórios mal implementados, sementes fixas ou fontes de entropia fracas transformam "cofres" em portas destrancadas, e o problema é silencioso até alguém explorá-lo.

Alguns pontos práticos que o episódio ilumina:

• Auditar a geração de chaves é tão importante quanto proteger o armazenamento. O usuário fez tudo certo do lado dele; o furo estava no código do fabricante.
• Uma linha de código de 2021 foi suficiente para comprometer valores milionários anos depois, um lembrete do custo de longo prazo de dívidas de segurança.
• Modelos de ameaça que assumem "offline = seguro" precisam de revisão: o vetor aqui não dependeu de conexão à internet.

Para quem opera com autocustódia, a recomendação técnica prática é conferir os avisos oficiais do fabricante do seu dispositivo, aplicar atualizações de firmware e, quando indicado, migrar para uma nova seed phrase gerada após a correção.

Fonte: TechCrunch