Fundos roubados relacionados à exploração da carteira de hardware Coldcard apresentam sinais iniciais de lavagem, mas pesquisadores de segurança blockchain afirmam que a maioria dos possíveis imitadores ainda não movimentou grandes quantias do cripto das vítimas. Segundo a CertiK, cerca de 64 Bitcoin (valendo aproximadamente US$ 4,17 milhões) e 200 Ether (valendo cerca de US$ 380 mil) ligados ao ataque foram encaminhados para serviços de mistura conhecidos — Wasabi para BTC e Tornado Cash para ETH.
O incidente da Coldcard tornou-se rapidamente um dos maiores hacks de criptomoedas do ano. A Galaxy Digital anteriormente estimou perdas confirmadas em pelo menos US$ 100 milhões em Bitcoin em três ondas, e também sinalizou uma possível quarta onda que poderia elevar as perdas totais para cerca de US$ 130 milhões.
Principais conclusões
- CertiK afirma que aproximadamente 64 BTC ligados à exploração do Coldcard foram enviados para o Wasabi e 200 ETH foram transferidos para o Tornado Cash.
- Serviços de mistura normalmente agregam fundos e obscurecem conexões on-chain, reduzindo as chances de recuperação para as vítimas.
- A rastreabilidade da TRM Labs sugere que os saldos da maioria das vítimas permanecem concentrados em um pequeno conjunto de endereços controlados pelo atacante, com atividade limitada de mistura.
- A análise dos padrões de transação nas ondas de ataque indica que a exploração pode envolver mais de um ator.
Serviços de mistura entram na imagem de lavagem da Coldcard
A monitorização da blockchain da CertiK conectou atividades específicas de transferência à exploração do Coldcard e mapeou parte do fluxo para ferramentas de privacidade e obfuscação. Em seu relatório, a CertiK indicou que a transferência de bitcoin — originada do endereço bc1q0 — foi enviada ao protocolo de mistura Wasabi na terça-feira, utilizando os dados de endereço da CertiK compartilhados com Cointelegraph.
No lado do Ethereum, a CertiK afirmou que 200 ETH foram enviados para o Tornado Cash na quarta-feira, citando uma X post de sua conta como base para a observação.
Misturadores de criptomoedas como o Tornado Cash operam reunindo depósitos de vários usuários e, em seguida, liberando os fundos de forma que quebre o rastreamento direto na cadeia do remetente original até o destinatário final. Esse recurso é exatamente o que torna o rastreamento mais difícil e a recuperação de ativos menos provável — especialmente quando os atacantes agem rapidamente e fragmentam os fundos em múltiplos endereços e serviços.
Por que isso importa: lavagem de momentum versus comportamento de cópia
O porta-voz da CertiK disse ao Cointelegraph que a atividade poderia estar ligada a um explorador menor, acrescentando que “provavelmente há alguns copiadores após a exploração inicial.” A implicação é direta: se outras partes utilizaram a mesma vulnerabilidade, seu movimento on-chain pode ajudar ou dificultar os investigadores, dependendo de se realizam ou não lavagem em larga escala.
É aí que as descobertas da TRM Labs se tornam importantes. Em um relatório de quinta-feira intitulado “O maior ataque à carteira de hardware de 2026: dentro do hack da Coldcard de US$ 116 milhões”, a TRM Labs afirmou que seu rastreamento on-chain indica que a maioria dos fundos das vítimas ainda estava concentrada em um número limitado de endereços controlados pelos atacantes e que as tentativas de mistura pareciam restritas.
A TRM Labs também destacou que “diferenças na construção das transações” entre cada onda sugerem múltiplos atacantes. Em outras palavras, mesmo que a vulnerabilidade subjacente fosse compartilhada, o playbook operacional pode não ser idêntico — uma assimetria que pode ser útil para investigadores tentando separar identidades dos participantes, fontes de financiamento e rotas de lavagem.
Escala de ataque ao Coldcard e o padrão “waves”
A Galaxy Digital anteriormente caracterizou a exploração do Coldcard como o terceiro maior hack de criptomoeda de 2026 até o momento, com base em atividades confirmadas. Em sua avaliação, a Galaxy estimou perdas esvaziadas em pelo menos US$ 100 milhões em bitcoin em três ondas de ataque verificadas, envolvendo 7.300 carteiras de vítimas. A Galaxy também apontou para uma quarta onda suspeita que poderia elevar as perdas totais para cerca de US$ 130 milhões em BTC, segundo cobertura anterior da Cointelegraph.
Esses achados baseados em ondas são importantes para como os analistas interpretam a lavagem de dinheiro. Se os atacantes não estiverem distribuindo os fundos agressivamente — ou se apenas uma parte dos ativos roubados tiver sido movida para mixers — então a dimensão temporal torna-se crítica: os investigadores ainda podem estar aguardando uma resposta mais ampla, à medida que outros atores ou lotes adicionais de fundos roubados começarem a se mover.
A análise anterior da Galaxy, também citada pela Cointelegraph, sugeriu que pelo menos 15 atacantes diferentes exploraram a vulnerabilidade. Isso está alinhado com o ponto da TRM Labs sobre as diferenças na construção das transações entre as ondas, reforçando a ideia de que o que pode parecer um único incidente pode ser, na verdade, uma operação coordenada (ou pelo menos paralela) com participantes distintos.
A fraqueza técnica por trás da exploração
O relatório da TRM Labs atribuiu parte da vulnerabilidade a um bug de firmware de março de 2021 que enfraqueceu a aleatoriedade da seed em algumas carteiras Coldcard. Segundo a TRM Labs, o bug reduziu efetivamente a força da chave de 128 bits para 40 bits, tornando-a “passível de ser quebrada por força bruta sem acesso físico.”
Outros comentários sobre a correção enfatizaram o baixo custo de uma melhor higiene de segurança. O sócio gestor da Dragonfly, Haseeb Qureshi, escreveu que aproximadamente “$2 de endurecimento de IA” poderiam ter impedido a exploração do Coldcard, referindo-se a relatos nas redes sociais de que alguns modelos de IA rediscoveram a vulnerabilidade rapidamente—embora essas afirmações sejam apresentadas como comentários, e não como descobertas técnicas formais.
Para investidores e desenvolvedores, a principal lição não é sobre qualquer preço específico, mas sim sobre quão rapidamente fraquezas podem ser transformadas em armas assim que o conhecimento público se espalhar. Quando uma vulnerabilidade pode ser explorada remotamente e em larga escala, a resposta a incidentes precisa considerar tanto os atacantes imediatos quanto os copiadores de longo prazo.
A partir de agora, os leitores devem observar se endereços adicionais controlados pelo atacante começam a transferir porções maiores dos saldos roubados para serviços de mistura, e se a quarta onda “suspeita” confirmada pela Galaxy se desenvolve ainda mais. À medida que mais fundos se movem — ou deixam de se mover — on-chain, os investigadores obterão sinais mais claros sobre quantos atores estão envolvidos e quão bem conseguem quebrar a rastreabilidade.
Este artigo foi originalmente publicado como Coldcard Hackers Send 64 BTC and 200 ETH to Crypto Mixers em Crypto Breaking News – sua fonte confiável para notícias de cripto, notícias de Bitcoin e atualizações de blockchain.