O ponto principal de uma carteira fria é que ela é fria. Off-line. Isolada. Inacessível. Uma vulnerabilidade nas carteiras de hardware Coldcard acabou de provar que essa premissa tem um asterisco.
Hackers exploraram uma falha de firmware em dispositivos Coldcard produzidos pelo fabricante canadense Coinkite, esvaziando aproximadamente 1.367 BTC, avaliados em quase US$ 89 milhões, de 4.585 endereços em várias ondas de ataques que começaram em 30 de julho de 2026.
O que realmente aconteceu
A vulnerabilidade remonta a uma compilação de firmware de março de 2021 que afeta as versões Coldcard Mk3 4.0.1 a 4.1.9 e lançamentos anteriores.
A falha estava na forma como esses dispositivos geravam as sementes da carteira. Em vez de direcionar a entropia através do gerador de números aleatórios de hardware, um bug encaminhou o processo por meio de um RNG de software. Em inglês: a aleatoriedade usada para criar sua chave privada era muito menos aleatória do que anunciado, tornando matematicamente viável reconstruir as chaves offline sem nunca tocar no dispositivo físico.
A primeira onda atingiu em 30 de julho de 2026. Cerca de 594 BTC, aproximadamente US$ 38 milhões na época, foram retirados de cerca de 500 endereços inativos em menos de 30 minutos. Isso não é um ataque lento e exploratório. É uma varredura coordenada.
Ondas subsequentes aumentaram os prejuízos totais para 1.367 BTC em 4.585 endereços até o início de agosto de 2026. A Galaxy Research rastreou o incidente e observou que as táticas do atacante evoluíram com cada onda, especificamente para evitar rastreamento enquanto alvejava saldos menores. A Galaxy Research também avaliou que cada onda provavelmente foi realizada por um único operador.
O padrão de endereço inativo é relevante aqui. Carteiras que não haviam movido fundos há anos estavam sendo esvaziadas, sugerindo que o atacante havia pré-computado um grande conjunto de chaves vulneráveis e estava executando um esvaziamento sistemático, em vez de reagir a atividades em tempo real.
Resposta da Coinkite e quem está afetado
A Coinkite emitiu um aviso de segurança e lançou um firmware corrigido até 1º de agosto de 2026, aproximadamente dois dias após o início da primeira onda.
A empresa aconselhou os usuários cujas frases semente foram geradas em versões afetadas do firmware a migrar os fundos para novas frases semente imediatamente, a menos que tenham complementado a entropia da carteira com uma fonte independente ou usado uma frase BIP-39 forte. Frases BIP-39 atuam como uma 25ª palavra adicionada à frase semente padrão de 24 palavras, e uma frase robusta teria tornado a reconstrução offline da chave significativamente mais difícil, mesmo com a falha de entropia reduzida.
A Coinkite confirmou que vários outros produtos em sua linha, incluindo TAPSIGNER, OPENDIME e SATSCARD, não foram afetados pela exploração. O alcance do incidente foi específico às versões de firmware em questão.
O que isso significa para auto-custódia
Este incidente complica a narrativa de auto-custódia sem desmantelá-la completamente. O que a exploração do Coldcard demonstra é que as carteiras de hardware apresentam sua própria categoria de risco, especificamente integridade do firmware e confiança na cadeia de suprimentos, que pode ser igualmente catastrófica.
Relatórios após o ataque indicam que alguns usuários começaram a mover bitcoin de volta para exchanges centralizadas, tratando-as como mais seguras no curto prazo.
Para investidores que mantêm bitcoin em armazenamento frio, as perguntas imediatas são práticas: qual versão de firmware foi usada para gerar a seed, se uma fonte de entropia independente ou uma frase de passe BIP-39 foi aplicada, e se a migração para uma nova seed em firmware corrigido já ocorreu. Dispositivos com firmware não afetado ou complementados com frases de passe fortes não estavam no conjunto de alvos do atacante.