Usuários do Coldcard estão enfrentando uma quarta onda de roubos organizados, e os números já não são mais erros de arredondamento. Alex Thorn, chefe de pesquisa da Galaxy Research, alertou para uma nova onda de atividade maliciosa que desviou aproximadamente 388,9 BTC de 462 endereços vítimas em apenas 14 blocos—entre 960.778 e 960.792. O ataque gerou 218 transações direcionando bitcoin para 216 destinos anteriormente inéditos. O volume de transações aumentou cerca de 45 vezes em relação à base pré-incidente, deixando pouca dúvida de que se tratava de uma operação deliberada e estruturada.
O aviso foi enviado por o relatório original, que também observa que parte dos fundos roubados já foi rastreada até endereços de segunda etapa. Transações semelhantes permanecem pendentes no mempool, indicando que a varredura ainda não foi totalmente processada. Atividades confirmadas na cadeia mostram uma opção sinalizada para Replace-by-Fee (RBF), um detalhe que pode oferecer uma saída limitada para vítimas que agirem rapidamente.
A Última Onda de Ataque
O que diferencia esta onda de roubo oportunista é a velocidade e a coordenação. As 462 carteiras foram atingidas em uma janela de tempo apertada, com a saída de fundos direcionada a destinos que não haviam sido usados antes. Esse padrão—carteiras novas, consolidação de alta velocidade e volume muito acima do normal—sugere scripts pré-planejados, e não um agente manual. O roubo ocorreu em um fim de semana, quando muitos usuários podem não ter estado monitorando transações. A Galaxy Research observou que alguns fundos já haviam sido transferidos para carteiras de segunda etapa, complicando os esforços de rastreamento e tornando a recuperação improvável sem intervenção imediata.
A marca RBF oferece uma salvação, mas apenas para aqueles que percebem o ataque enquanto suas transações ainda são substituíveis. Usuários com transações de saída pendentes e não confirmadas que não foram transmitidas com taxa baixa podem potencialmente acelerar uma transação concorrente para um endereço seguro. É uma janela estreita, e exige conhecimento técnico. Para a maioria das vítimas, os fundos já foram perdidos.
Padrão de Furto Organizado
Esta não é a primeira vez que proprietários de Coldcard enfrentam esse problema. Segundo a Galaxy Research, ondas anteriores identificaram três campanhas de ataque distintas direcionadas a endereços gerados pelo Coldcard. Cumulativamente, essas ondas esvaziaram 1.367,05 BTC de 4.585 endereços — valendo aproximadamente US$ 88,6 milhões no momento dos roubos. Os incidentes anteriores levaram a Coldcard a reconhecer uma vulnerabilidade de firmware que permitia aos atacantes derivar chaves privadas a partir de seeds criadas em dispositivos afetados.
O fabricante de hardware interrompeu as expedições e destruiu todos os dispositivos COLDCARD restantes com o firmware vulnerável. Os produtos Satscard, Opendime e Tapsigner não foram afetados. O Coldcard lançou um firmware corrigido que protege as sementes recém-geradas, mas a correção não é retroativa. Qualquer semente criada no firmware vulnerável permanece comprometida. A orientação da empresa é direta: crie uma nova semente no firmware corrigido e transfira todos os fundos das antigas sementes imediatamente. A quarta onda mostra que muitos usuários ainda não o fizeram, e os atacantes estão explorando sistematicamente essa inércia.
Resposta do Coldcard e orientação ao usuário
A decisão da Coldcard de interromper envios e destruir estoque foi um passo drástico, mas necessário, raramente tomado publicamente por outros fornecedores de hardware. Isso sinalizou que a vulnerabilidade não era um caso teórico isolado. No entanto, a implantação do patch expõe a fricção inerente à autogestão. Os usuários devem gerar uma nova frase semente, um processo que exige uma mudança completa dos endereços da carteira e frequentemente requer atualizar carteiras de software conectadas, configurações multisig e procedimentos de backup. Essa migração não é trivial, e as ondas contínuas de ataques estão punindo quem adiou.
Para aqueles que ainda mantêm fundos em uma seed originada no firmware vulnerável, o conselho da Galaxy Research é urgente: transfira os fundos dos dispositivos Coldcard agora, use taxas maiores do que o normal para garantir a confirmação das transações e utilize RBF se a sua carteira o suportar. O esvaziamento de endereços na quarta onda indica que os atacantes estão monitorando ativamente a rede em busca de saldos restantes.
Implicações mais amplas para a autogestão
O episódio do Coldcard vai além de um bug de hardware—expõe os riscos de cadeia de suprimentos e ciclo de vida embutidos na autogestão. Os usuários confiam em firmware enviado diretamente pelo fabricante, e até processos de verificação de código aberto podem ser ignorados. Quando uma falha na geração da seed permanece não detectada por meses, a limpeza subsequente é bagunçada e lenta. O fato de quatro ondas distintas de ataque poderem ocorrer, cada uma separada por meses, sugere que o atacante é paciente e possui um método confiável para associar seeds a endereços, provavelmente a partir de uma extração vazada do período de aleatoriedade fraca.
O que ainda não está claro é se o atacante possui toda a lista de sementes comprometidas ou apenas um subconjunto, e se existem outras vulnerabilidades nas versões anteriores do firmware que a Coldcard não divulgou. A natureza contínua dos ataques indica que a lista pode ser grande, e os 462 endereços desta onda podem ser apenas o lote mais recente. Se o atacante continuar varrendo sistematicamente, os prejuízos totais podem aumentar ainda mais. Para o mercado de carteiras de hardware em geral, as consequências são um lembrete de que auditorias de firmware e relatórios transparentes de vulnerabilidades não são opcionais — são o cerne da promessa de segurança do produto.