TL;DR
- A Galaxy identificou pelo menos 15 atacantes após novos relatos de vítimas exporem roubos anteriormente ocultos de Coldcard, incluindo 12 BTC removidos de 126 endereços.
- Os prejuízos confirmados atingiram cerca de US$ 100 milhões em três ondas, enquanto um quarto ataque suspeito pode elevar o total para perto de US$ 130 milhões em bitcoin.
- Pesquisadores discutiram se testes baratos de IA poderiam ter evitado a falha, mas concordaram que a entropia reduzida de 40 bits tornou as sementes das carteiras afetadas mais fáceis de atacar independentemente.
A Galaxy Digital afirma que pelo menos 15 atacantes distintos exploraram a Coldcard vulnerability, com base em novos relatos de vítimas após o incidente se tornar público. Alex Thorn explained que divulgações individuais ajudaram analistas a identificar atacantes que de outra forma permaneceriam ocultos, pois a exploração diferia de uma violação em uma exchange centralizada. Relatos recentes estão revelando uma campanha fragmentada, e não uma operação de roubo coordenada. Em um caso, uma vítima que relatou menos de 1 BTC roubado permitiu aos pesquisadores identificar um ataque que removeu 12 BTC de 126 endereços, mostrando como uma queixa pequena pode expor um padrão muito mais amplo.
agora inúmeros atacantes diferentes explorando a vulnerabilidade do Coldcard. estimamos pelo menos 15 atacantes diferentes agora
continuamos a receber relatos de vítimas e fornecemos a elas informações para reportar às autoridades
e esses relatórios nos ajudam a identificar novos ataques e rotular os atacantes https://t.co/6ybBTqJPb6
— Alex Thorn (@intangiblecoins) August 4, 2026
Novos relatórios ampliam a estimativa de perda e o debate sobre IA
Galaxy agora estima perdas confirmadas próximas a US$ 100 milhões em três ondas de ataque e identificou uma quarta onda suspeita que pode elevar o total para aproximadamente US$ 130 milhões em Bitcoin. A estimativa crescente de perdas sugere que a exploração ainda está sendo reconstruída, em vez de totalmente contida ou compreendida. Ao contrário de um único ataque a exchange com um ponto de violação visível, sementes de carteira comprometidas podem ser exploradas independentemente por diferentes atores, tornando a atribuição, a contagem de vítimas e os cálculos de perda total incomumente difíceis. O aumento no número de atacantes também reabriu questões sobre se a autogestão protege os usuários quando segredos gerados por hardware se tornam previsíveis.
A discussão técnica passou a focar em quão barato seria para a inteligência artificial redescobrir a falha no firmware. O sócio-gerente da Dragonfly, Haseeb Qureshi, argumentou que cerca de US$ 2 em endurecimento de IA poderiam ter evitado o incidente, citando testes nos quais modelos supostamente reproduziram a vulnerabilidade em minutos. A afirmação sobre IA permanece provocativa, mas contestada, pois a falha já era pública quando várias demonstrações ocorreram. Um pesquisador alertou que esses testes careciam de condições cegas, métodos documentados e análise de falsos positivos, enquanto outro modelo de código aberto supostamente identificou a questão em 20 minutos sem acesso à web, intensificando o debate sobre a detecção realista antes da divulgação.
Castle Labs afirmou que o bug reduziu a entropia da chave privada do Coldcard para cerca de 40 bits, muito abaixo dos 128 bits associados a uma seed padrão de 12 palavras. Essa queda tornou a descoberta por força bruta mais fácil e pode explicar por que múltiplos atacantes puderam participar. O incidente expõe uma falha de teste na qual a promessa de segurança de uma carteira de hardware dependia de entropia que o firmware enfraqueceu silenciosamente. À medida que a IA reduz o custo da revisão de código para defensores e criminosos, o desafio não resolvido é se os fabricantes de carteiras podem fortalecer as versões antes que ferramentas automatizadas transformem erros de implementação obscuros em oportunidades de roubo escalável em endereços de bitcoin inativos.