A equipe de Engenharia e Segurança de Bitcoin da Block e desenvolvedores independentes do Bitcoin Core rastrearam o recente lote de perdas de carteiras Coinkite Coldcard até um defeito específico no firmware que expôs uma fraqueza oculta na autogestão de bitcoin antes que qualquer usuário tocasse em uma frase semente.
O bug desviou a geração de números aleatórios do dispositivo da fonte de hardware STM32 para a fallback determinística Yasmarang do MicroPython.
Dispositivos Mk2 e Mk3 executando firmware 4.0.1 a 4.1.9 geraram seeds cuja aleatoriedade criptográfica colapsou em um conjunto pequeno, pesquisável.
Os modelos Mk4, Q e Mk5 foram menos afetados, produzindo sementes com cerca de 72 bits de entropia, ainda bem abaixo dos 128 bits especificados pelo design.
Como sementes fracas comprometeram a autogestão do bitcoin
Um usuário pode anotar doze ou vinte e quatro palavras, armazená-las em um local seguro, manter o dispositivo desconectado por anos e ainda assim possuir uma chave um atacante poderia reconstruir pesquisando no espaço de saída restrito do gerador de fallback.
Uma correção de firmware protege apenas as sementes que o dispositivo gera após o proprietário instalar a atualização, portanto, qualquer semente já gerada pelo caminho com falha precisa ser totalmente substituída: o aviso da Coinkite orienta os usuários afetados a gerar uma nova semente inteiramente e transferir seus fundos.
Importar a antiga frase para uma carteira de outro fabricante apresenta a mesma fraqueza. A falha remonta à origem da seed, uma propriedade que acompanha as palavras de recuperação em si.
| Camada de custódia | O que os usuários pensaram que estavam segurando | O que a falha do Coldcard expôs |
|---|---|---|
| Geração de seed | Palavras aleatórias criadas com segurança pelo dispositivo | Algumas sementes eram fracas desde o nascimento |
| Armazenamento off-line | Frase de recuperação mantida longe dos atacantes | Armazenamento seguro não pôde corrigir entropia fraca |
| Atualização de firmware | O dispositivo pode ser corrigido | Sementes fracas existentes não puderam ser reparadas |
| Migração de dispositivo | Importe a frase para um hardware mais seguro | Fraqueza seguiu as palavras de recuperação |
| Comportamento do usuário | Evite phishing, malware e vazamentos | A perda pode ocorrer sem mau uso do usuário |
Para uma parte dos proprietários afetados, no momento exato em que o dispositivo gerou a chave, meses ou anos antes de qualquer depósito chegar, fixou o espaço de busca, independentemente de quão cuidadosamente o proprietário armazenou a frase resultante após isso.
A Coldcard construiu sua reputação com base nos recursos que os guias de segurança recomendam para a autogestão de Bitcoin: firmware exclusivo para Bitcoin, assinatura air-gapped, dois elementos seguros, código-fonte publicado e compilações reprodutíveis.
Reconstruir o firmware publicado e compará-lo com o binário distribuído confirma que o código que os usuários executam corresponde ao código publicado pela Coinkite. Essa correspondência atesta apenas a integridade da distribuição, e a detecção de um defeito no design subjacente exige uma auditoria separada e mais aprofundada do código-fonte em si.
O caminho vulnerável incluído no firmware que a Coinkite lançou a partir de 2021 e continuou a enviar até a divulgação deste julho, um período de cinco anos durante o qual o código-fonte estava público e a falha permaneceu não detectada.
As notas técnicas da Coinkite afirmam que uma revisão anterior confirmou que o gerador correto de números aleatórios de hardware existia em algum lugar no binário do firmware, mas não chegou a confirmar se a rotina de geração da semente a alcançou.
Os proprietários que adicionaram uma segunda suposição
Proprietários que definiram uma frase-passagem BIP-39 forte e única resistiram ao ataque de reconstrução da seed por conta própria, pois o BIP-39 deriva a seed da carteira a partir da mnemônica combinada com um salt contendo a frase-passagem.
Uma frase de passe diferente produz uma carteira diferente, mesmo quando as palavras subjacentes coincidem.
Essa frase secreta é distinta do PIN do dispositivo, que apenas desbloqueia o hardware; a frase secreta em si participa da geração das chaves, e a Coinkite ainda recomenda a migração para esses usuários.
Proprietários que geraram sua seed com pelo menos 50 rolagens de dados justas, independentes e privadas formam o segundo grupo que a Coinkite exclui deste defeito específico, pois a adição de entropia externa removeu o gerador defeituoso do dispositivo como única entrada.
Andrew Mannoukas, diretor de segurança da informação do Xapo Bank, descreveu o padrão em uma nota para a CryptoSlate:
A lição desse incidente não é que carteiras de hardware são ruins; é que a concentração é. Quando a segurança do seu bitcoin é reduzida a um único segredo, criado em um único dispositivo, em um único momento irrepetível, você herdou todas as suposições embutidas nesse momento.
Ele acrescentou que os dados do setor têm indicado, há anos, que a maioria das perdas agora vem de falhas na gestão de chaves e operacionais.
Conselhos informais sobre multisig muitas vezes ignoram uma armadilha: uma configuração 2-de-3 impede que uma única chave comprometida mova fundos. Três chaves que compartilham a mesma implementação defeituosa se tornam um único domínio de falha.
A documentação própria do Coldcard permite que um único dispositivo gere vários coassinadores usando diferentes frases de passe, criando chaves separadas que ainda podem ser rastreadas até uma única implementação subjacente.
O verdadeiro teste passa de saber se uma carteira usa multisig para quem gerou cada chave, qual implementação ela usa e com qual fonte de aleatoriedade.
| Configuração | O que foi adicionado | Por que isso foi importante neste incidente | Aviso restante |
|---|---|---|---|
| Seed gerado apenas pelo dispositivo | Nenhuma segunda suposição | A segurança dependia fortemente do caminho RNG do Coldcard | Totalmente exposto se a seed fosse previsível |
| Frase de passe BIP-39 forte | Segredo independente | O mnemônico fraco sozinho foi insuficiente | Senhas fracas ainda podem ser adivinhadas |
| 50+ rolagens privadas de dados | Entropia externa | O RNG do dispositivo não foi a única fonte de aleatoriedade | O usuário deve gerar os rolos corretamente |
| Multisig diversificado | Chaves de assinatura independentes | Uma chave fraca pode não atingir o limite de gastos | As chaves devem vir de fontes independentes |
| Multisig no mesmo dispositivo | Mais chaves, mesma implementação | Pode parecer mais seguro sem independência real | Domínio de falha compartilhado permanece |
Imagem espelhada do Ledger
O serviço opcional Recover da Ledger faz com que o Elemento Seguro do dispositivo duplique e criptografe a entropia da carteira, divida o resultado em três fragmentos criptografados e os envie para provedores de backup distintos, um processo que exige tanto uma assinatura quanto aprovação física no próprio dispositivo.
A versão do Ledger do problema de limite envolve mover material secreto para fora do dispositivo, sob condições definidas que o usuário aprova cada vez.
O problema da Coinkite estava mais a montante: o firmware comprometia o segredo antes que o limite do dispositivo entrasse em jogo. Em ambos os casos, o software do fabricante determina onde reside o verdadeiro limite de segurança da autogestão do bitcoin, independentemente da linguagem de marketing usada para o hardware.
As varreduras iniciais retiraram aproximadamente 594 BTC de cerca de 500 carteiras. Pesquisadores on-chain desde então ligaram pelo menos três ondas suspeitas à falha, totalizando quase 1.367 BTC em mais de 4.500 endereços, valendo cerca de 89 milhões de dólares na época.
Relatórios circulando em 3 de ago descrevem uma possível quarta onda que poderia empurrar o total para US$ 114 milhões. Galaxy Digital's Alex Thorn alertou que padrões de blockchain sozinhos não confirmam a ligação entre alguns endereços varridos e vulnerable Coldcard firmware, deixando a atribuição provisória enquanto o total continua a subir.
Uma atualização subsequente de 4 de ago. do Lookonchain, citando a Galaxy Research, estimou que os prejuízos relacionados ao Coldcard podem ter atingido 2.055 BTC, equivalentes a aproximadamente US$ 130 milhões, em mais de 7.700 endereços afetados.
TRM Labs descobriu que comprometimentos de infraestrutura e operacionais, principalmente roubo de chaves privadas e frases de seed, representaram cerca de 76% do valor roubado em ataques cripto durante o primeiro semestre de 2026. Esses mesmos falhas corresponderam a aproximadamente 15% do total de incidentes.
CertiK contabilizou separadamente a violação de carteiras como a categoria de ataque mais cara no mesmo período, com mais de US$ 444 milhões em 33 incidentes. Os atacantes encontraram mais lucro perseguindo os sistemas e processos em torno das chaves do que perseguindo a criptografia subjacente a elas.
O fundador da Coinkite, Rodolfo Novak, se desculpou publicamente, disse que a empresa assume total responsabilidade e ofereceu ajuda com relatórios policiais, reclamações de seguro e investigações na blockchain. Em 3 de agosto, o reembolso não estava entre as soluções listadas.
Uma exchange que perde fundos de clientes às vezes pode recorrer a reservas, seguro ou um balanço patrimonial construído pela empresa para esse fim. Um fabricante de carteiras de hardware vende um produto e normalmente deixa a custódia do bitcoin subjacente apenas com o usuário, deixando a responsabilidade por qualquer defeito não resolvida entre o usuário e o fabricante.
O que acontece a seguir para a autogestão do bitcoin
Se tudo correr bem, a migração supera o surgimento de qualquer nova onda, e os criadores de carteiras respondem com atestações de entropia, testes de geração de seed e ferramentas mais claras para rotação de chaves de emergência.
Senhas, entropia externa de dados e multisig adequadamente diversificada passam de dicas avançadas para orientação padrão, e a indústria trata o episódio como o momento em que os padrões de auto-custódia se alinharam com o marketing de auto-custódia.
No entanto, no futuro, pesquisadores poderão descobrir caminhos adicionais de semente fraca em outros modelos ou rotinas de configuração, e a confiança poderá diminuir mais rapidamente do que os fabricantes conseguem corrigi-los.
Migrações apressadas criam suas próprias perdas, por meio de erros de reutilização de endereços, transferências apressadas e uma nova onda de golpes de suporte a carteiras que visam os usuários tentando mover fundos para a segurança.
| Cenário | Gatilho | Resposta provável do mercado | O que significa autogestão do bitcoin |
|---|---|---|---|
| Caso de alta | Os prejuízos se estabilizam e as migrações funcionam | Criadores de carteiras adicionam testes de entropia, atestações e ferramentas de rotação de emergência mais claras | A autogestão amadurece da posse da seed para resistência a falhas em camadas |
| Caso de urso | Mais caminhos de semente fraca aparecem | Usuários migram em pânico, golpistas exploram a confusão e a confiança nas carteiras de hardware cai | “Not your keys” é substituído por “quem criou suas chaves?” |
| Adaptação industrial | Padrões surgem em torno de entropia, auditorias e diversidade de multisig | Práticas avançadas tornam-se UX padrão da carteira | A autogestão torna-se mais resiliente, mas menos simples |
| A lacuna de responsabilidade persiste | Não há formas claras de reembolso ou norma de responsabilidade | Os usuários mantêm o controle, mas assumem maior risco de defeitos do produto | A confiança na carteira de hardware torna-se parte da análise de risco de custódia |
Ter suas próprias chaves remove o poder de uma exchange para congelar um saque, rehipotecar um saldo ou colapsar em insolvência com os fundos dos clientes dentro dela.
Uma dependência sobrevive dentro da autogestão do bitcoin: o fabricante por trás do dispositivo que transforma aleatoriedade em uma chave.
Uma única semente, nascida em hardware de uma única empresa, em um momento irrepetível, funciona como soberania apenas uma vez por segundo, pois por trás dela está uma suposição independente.
A postagem Coldcard crisis atinge US$ 130 milhões – provando que “not your keys” é sem sentido se você confiar em um único dispositivo para gerá-los apareceu pela primeira vez em CryptoSlate.