⚠️ Usuários do Coldcard perdem milhões devido a falha de firmware de 2021 Um dos incidentes de segurança mais significativos envolvendo bitcoin em auto-custódia expôs uma lição crítica: carteiras de hardware dependem, acima de tudo, da segurança do processo de geração da seed. Uma vulnerabilidade no Coldcard relacionada a versões de firmware lançadas em 2021 permitiu que atacantes esvaziassem centenas de carteiras sem acesso físico, phishing ou malware. Relatos estimam que entre 594 BTC e mais de 1.082 bitcoin:native podem ter sido roubados, representando aproximadamente US$ 38 milhões a US$ 70 milhões em perdas potenciais. O ataque ocorreu em um curto período de cerca de 25 a 40 minutos, visando carteiras cujas seeds foram geradas durante o período com firmware vulnerável. Muitos endereços afetados permaneceram inativos por anos, com fundos armazenados desde a criação das seeds comprometidas. Segundo análise on-chain, o atacante parece ter priorizado primeiro as carteiras de maior valor, incluindo uma contendo aproximadamente US$ 1,8 milhão. A operação depois se expandiu para uma varredura automatizada de endereços vulneráveis adicionais, sugerindo identificação prévia das carteiras afetadas. A causa raiz estava ligada à entropia insuficiente durante a geração da seed em certos modelos do Coldcard, particularmente dispositivos Mk3 com versões afetadas de firmware. Em vez de confiar corretamente na aleatoriedade baseada em hardware, o processo podia gerar seeds previsíveis que permitiam a reconstrução remota das chaves privadas. A Coinkite aconselhou usuários potencialmente afetados a migrar seus fundos para novas carteiras geradas com firmware atualizado. O incidente reforça um princípio fundamental de segurança: se a geração da seed falhar, mesmo proteções robustas, como design air-gapped e hardware seguro, não conseguem proteger totalmente os fundos dos usuários.