Quando a segurança de hardware falha, o dinheiro se move. Essa parece ser a lição de uma vulnerabilidade significativa divulgada em carteiras de hardware Coldcard mais antigas no final de julho de 2026, que provocou um fluxo de capital para ETFs de bitcoin à vista, incluindo $IBIT, $FBTC, $BITC, $ARKB e $MSBT, com entradas diárias combinadas totalizando US$ 620 milhões após a violação.
O que realmente aconteceu com o Coldcard
Em 30 de julho de 2026, a Coinkite, empresa canadense por trás da carteira de hardware Coldcard, divulgou uma vulnerabilidade de firmware que afeta modelos mais antigos, incluindo a série Mk3.
A falha não se tratava de alguém roubando fisicamente um dispositivo. Era mais sutil e, de certa forma, mais assustadora. A vulnerabilidade reduziu a entropia utilizada durante a geração da frase semente para aproximadamente 40 bits. Em inglês: a aleatoriedade incorporada na criação da chave mestra da carteira era drasticamente mais fraca do que deveria ser, tornando matematicamente viável para um atacante reconstruir chaves privadas do zero.
A Galaxy Research estimou que entre 1.367 e 1.816 BTC foram retirados de mais de 5.200 endereços de carteira nos dias seguintes à descoberta da exploração. Aos preços vigentes na época da violação, isso equivale a perdas de aproximadamente US$ 89 milhões a US$ 116 milhões.
Os roubos ocorreram rapidamente. A maioria dos danos aconteceu entre o final de julho e o início de agosto de 2026, com a Galaxy Research apontando aproximadamente 1.367 BTC retirados de 4.585 endereços afetados até a publicação das primeiras contagens. O CEO da Coinkite, Rodolfo Novak, respondeu publicamente em 31 de julho, aconselhando os usuários cujas frases semente foram geradas em dispositivos afetados a transferir seus fundos imediatamente.
Modelos mais recentes do Coldcard experimentaram um grau menor de exposição. A redução de entropia foi parcial, e não completa, nos hardware mais recentes, o que limitou, mas não eliminou, sua vulnerabilidade em comparação com unidades mais antigas.
O preço do bitcoin ignorou. Os fluxos de ETFs não.
A reação do preço do bitcoin foi notavelmente contida. Apesar da violação que eliminou dezenas de milhões de dólares para milhares de titulares de carteiras, o mercado mais amplo registrou apenas uma leve queda de aproximadamente 3% antes de se estabilizar próximo aos níveis anteriores.
O sinal mais interessante veio dos fluxos dos ETFs. Os ETFs de bitcoin à vista registraram entradas diárias combinadas de US$ 620 milhões no período seguinte à divulgação da Coldcard, entre os tickers incluindo o iShares Bitcoin Trust, o Fidelity Wise Origin Bitcoin Fund, o ARK 21Shares Bitcoin ETF e outros. As entradas individuais por sessão nesse período variaram de US$ 91,84 milhões no extremo inferior a totais na faixa de US$ 170 milhões a US$ 244 milhões nos dias mais fortes.
A pesquisa observa que relatos de uma correlação direta entre o ataque e os ingressos de US$ 620 milhões nos ETFs de bitcoin permanecem não confirmados, embora o timing sugira um possível movimento em busca de segurança entre investidores cientes dos riscos apresentados por vulnerabilidades de hardware. O valor de US$ 620 milhões abrange múltiplos produtos, o que significa que isso não foi uma anomalia de um único fundo impulsionada por um único grande ordem institucional.
O que isso significa para o debate sobre auto-custódia
Uma falha de firmware que compromete a geração de entropia não afeta apenas as pessoas que perderam fundos. Ela introduz dúvidas na população mais ampla de usuários de carteiras de hardware, que não têm ideia se sua própria frase semente foi gerada com aleatoriedade suficiente.
Para investidores que atualmente detêm bitcoin em auto-custódia em hardware mais antigo, a questão prática imediata é se sua frase semente foi gerada em um dispositivo ou versão de firmware afetada pela falha de entropia reduzida.