Um bug de firmware introduzido em março de 2021 pela fabricante canadense de carteiras de hardware Coinkite enfraqueceu silenciosamente a aleatoriedade usada para gerar frases semente em dispositivos Coldcard afetados. Em vez de utilizar uma fonte robusta de entropia, a falha redirecionou a geração da frase semente para um gerador de números pseudoaleatórios baseado em software. Em termos simples: os números “aleatórios” não eram suficientemente aleatórios, tornando matematicamente viável para atacantes reconstruírem chaves privadas sem jamais tocar no dispositivo físico.
Quão ruim ficou
A primeira onda de ataque ocorreu em 30 de julho de 2026. Em cerca de 25 minutos, aproximadamente 594 BTC, com valor de cerca de US$ 38 milhões, desapareceram de cerca de 500 endereços. Isso foi apenas o início.
A Galaxy Research identificou pelo menos três ondas distintas de ataques. Até o início de agosto de 2026, os prejuízos totais haviam subido para 1.816 BTC, avaliados entre US$ 114 milhões e US$ 116 milhões, distribuídos em mais de 5.200 endereços comprometidos. Os ataques concentraram-se quase exclusivamente em carteiras de assinatura única, o modelo mais comum entre usuários comuns, sem as camadas adicionais de segurança fornecidas por configurações de assinatura múltipla.
O CEO da Coinkite e a equipe de engenharia da Block confirmaram a existência do bug. Atualizações de firmware de emergência foram emitidas, com instruções urgentes para os usuários afetados gerarem novas frases semente e transferirem seus fundos imediatamente. Para muitos, esse conselho chegou tarde demais.
A vulnerabilidade em si remonta a 1º de março de 2021, afetando o Coldcard Mk3 e outros modelos principais da época.
O que isso significa para a reputação da autogestão
Carteiras de hardware eram supostamente o padrão-ouro. Off-line, isoladas, imunes a explorações remotas. O incidente da Coldcard vai diretamente contra essa narrativa, e o momento é importante: esta não é uma história sobre uma exchange suspeita ou um protocolo DeFi de curta duração. A Coinkite é um dos nomes mais respeitados na cultura de segurança do Bitcoin.
Isso abre uma porta para os ETFs de bitcoin. Os ETFs de bitcoin à vista já eliminaram a carga operacional de gerenciamento de chaves para investidores institucionais e varejistas que desejavam exposição ao bitcoin sem a ansiedade da carteira. Um hack de US$ 114 milhões em um dispositivo de hardware confiável acelera significativamente o caso.
Os custódios institucionais são os que mais se beneficiarão diretamente. Empresas já operando dentro de estruturas regulatórias, com seguro e realizando custódia em larga escala por meio de computação multipartidária ou assinatura múltipla agora têm um novo ponto de dados para destacar em cada conversa de vendas.
Carteiras de assinatura única, o principal alvo desses ataques, permanecem como a configuração mais comum entre detentores individuais. Qualquer migração significativa longe desse modelo, seja em direção a ETFs, arranjos de assinatura múltipla ou serviços de custódia gerenciada, representaria uma mudança estrutural na forma como a propriedade do bitcoin é distribuída.