A indústria de carteiras de hardware construiu sua reputação com uma promessa simples: mantenha seu bitcoin off-line e seguro. Essa promessa sofreu um golpe sério em 30 de julho de 2026, quando atacantes começaram a explorar uma vulnerabilidade nas carteiras de hardware Coldcard da Coinkite, drenando finalmente o que estimativas revisadas colocam em 1.816 BTC, cerca de US$ 114 milhões, de mais de 5.200 endereços. Algumas estimativas sugerem que os prejuízos totais podem ultrapassar US$ 130 milhões à medida que as atividades de saque continuam.
A vulnerabilidade remonta à versão do firmware 4.0.1, lançada pela Coinkite em março de 2021. A falha comprometeu a aleatoriedade utilizada na geração das sementes da carteira, que são as chaves mestres das quais todas as chaves privadas de uma carteira de bitcoin são derivadas. A força da chave, que idealmente é de 128 bits de entropia, caiu tão baixo quanto 40 bits nos dispositivos afetados. Com 40 bits, ataques de força bruta tornam-se computacionalmente viáveis com hardware moderno.
No início de agosto, a Galaxy Research estimou perdas de aproximadamente 1.367 BTC em 4.585 endereços. À medida que os atacantes continuaram a saquear carteiras vulneráveis em ondas subsequentes, esse valor subiu para 1.816 BTC implicados em mais de 5.200 endereços. A progressão é importante porque sinaliza que a exploração não foi um ataque isolado, mas uma operação sistemática e contínua direcionada a cada carteira com firmware defeituoso.
A Coinkite ainda não divulgou uma estimativa específica de perda. A empresa indicou que está realizando uma análise pós-morte antes de comentar sobre o escopo completo da compromisão dos dispositivos e do impacto aos usuários.
A ironia é que essa exploração não exigiu nenhuma conexão à internet para ter sucesso. A vulnerabilidade estava na lógica de geração de chaves do firmware. Qualquer carteira gerada usando uma versão comprometida desse firmware estava vulnerável desde o momento em que foi criada, independentemente de quão cuidadosamente o proprietário protegesse o dispositivo físico posteriormente.
Analistas da Galaxy Research sugerem que a exploração pode acelerar uma mudança em direção a veículos de investimento em bitcoin regulamentados. Provedores de ETFs dependem de custódias institucionais operando sob supervisão regulatória, com estruturas de seguro e auditorias de segurança que usuários individuais de carteiras de hardware não conseguem replicar.
Para investidores que atualmente detêm bitcoin em qualquer carteira de hardware, a prioridade imediata é a verificação. Se um dispositivo foi inicializado usando a versão 4.0.1 do firmware da Coldcard, os fundos devem ser transferidos para uma carteira gerada em um dispositivo diferente e verificado como medida preventiva. Aguardar o relatório pós-evento oficial da Coinkite antes de agir é um cálculo de risco que muitos detentores podem não querer fazer enquanto os saques ativos continuam.