Carteiras de hardware foram vendidas há muito tempo com uma promessa simples: mantenha suas chaves off-line, mantenha seu bitcoin seguro. Essa promessa acabou de sofrer um grave golpe. Uma vulnerabilidade de firmware nas carteiras de hardware Coldcard, produzidas pela Coinkite, permitiu que atacantes esvaziassem aproximadamente 1.596 a 1.719 BTC de milhares de endereços, com perdas estimadas entre US$ 100 milhões e US$ 111 milhões. Uma quarta onda suspeita de ataques, identificada por volta de 3 de agosto, adicionou aproximadamente 389 BTC a esse total.
Alex Thorn, da equipe de análise on-chain da Galaxy Digital, confirmou os resultados por meio de forense on-chain. O detalhe que torna essa violação particularmente devastadora: as vítimas seguiram todas as práticas de segurança recomendadas. Nenhum phishing. Nenhuma vazamento de chave. Nenhum erro do usuário. O firmware em si estava comprometido.
Uma falha cinco anos em desenvolvimento
A vulnerabilidade remonta a uma única versão de firmware. A versão 4.0.1 do Coldcard, lançada em 17 de março de 2021, introduziu um bug no gerador de números aleatórios do dispositivo, que causou a geração de seeds de carteira com muito menos entropia do que o esperado. Algumas seeds afetadas tinham apenas cerca de 40 bits de entropia.
Em termos simples: uma carteira de bitcoin bem protegida deve ser computacionalmente impossível de adivinhar. Essas sementes não eram. Atacantes usaram ferramentas de força bruta de código aberto para reconstruir as sementes afetadas e esvaziar as carteiras que controlavam.
A falha permaneceu não detectada por mais de cinco anos. A Coinkite divulgou a vulnerabilidade em 30 de julho de 2026, e uma versão atualizada do firmware ficou disponível no dia seguinte. Mas atualizar um dispositivo não recupera fundos perdidos e não corrige seeds já geradas no firmware vulnerável. Usuários afetados devem gerar novas seeds completamente no firmware atualizado e transferir todos os fundos para novos endereços.
A análise da Galaxy identificou pelo menos 15 atacantes distintos atuando em pelo menos três ondas confirmadas de roubo, visando aproximadamente 7.300 endereços no total. Até 7 de agosto, o bitcoin roubado confirmado havia aumentado para 1.719 BTC, com alguns relatos situando perdas totais potenciais acima de US$ 130 milhões quando atividades suspeitas adicionais são incluídas.
O que os dados on-chain revelam
Uma das descobertas mais marcantes da pesquisa da Galaxy é que a maioria dos fundos roubados permanece não gasta na cadeia. Os atacantes moveram o bitcoin, mas não o converteram nem o dispersaram nos padrões típicos de lavagem, pelo menos ainda não.
O padrão das ondas de roubo também é notável. Três ondas confirmadas precederam uma quarta suspeita, sugerindo exploração coordenada em vez de um único agente oportunista que descobriu a falha independentemente. A Galaxy identificou pelo menos 15 atacantes distintos, o que aponta para a vulnerabilidade ser conhecida, compartilhada ou vendida entre um grupo antes da divulgação pública.
O que isso significa para auto-custódia e segurança de hardware
O Coldcard construiu sua reputação como um dos wallets de hardware mais preocupados com segurança disponíveis. Sua base de usuários é composta principalmente por detentores de bitcoin tecnicamente sofisticados que escolheram ativamente a autogestão em vez do armazenamento em exchanges. A ironia não é sutil: as pessoas mais comprometidas em controlar suas próprias chaves acabaram expostas por uma falha na ferramenta em que confiavam para proteger essas chaves.
Para usuários que atualmente detêm fundos em qualquer dispositivo Coldcard com firmware da versão 4.0.1 em diante, a ação imediata é clara: atualize o firmware e transfira os fundos para uma nova seed gerada. Esperar introduz riscos adicionais, especialmente se novas ondas de roubo ocorrerem. A identificação pela Galaxy de uma possível quarta onda em 3 de agosto sugere que a janela de exploração ainda pode estar aberta para endereços afetados que ainda não foram esvaziados.