Coinkite lança firmware 5.6.1 após exploit de US$ 130 mi na Coldcard

Escrito pela Redação IAZona · Revisado por Jadher Felisberto

Coinkite lança firmware 5.6.1 para Coldcard após falha de entropia permitir roubo de US$ 130 mi em Bitcoin desde julho de 2026.

A Coinkite, fabricante da carteira de hardware Coldcard, lançou uma atualização de segurança abrangente para seus dispositivos depois que uma falha na geração de seeds (chaves criptográficas iniciais) permitiu o roubo de mais de US$ 130 milhões em Bitcoin. O novo firmware, versões 5.6.1 e 1.5.1Q, está disponível para os modelos Mk4, Mk5 e Q.

A vulnerabilidade, rastreada pelo Decrypt, datava de 2021 e reduzia a entropia (o grau de aleatoriedade usado para criar chaves privadas) de 128 bits para cerca de 40 bits em alguns dispositivos afetados. Com menos aleatoriedade, as seeds ficavam mais fáceis de adivinhar sem acesso físico à carteira.

Exploit de R$ 116 mi em carteira física reacende debate sobre autocustódia

Os ataques começaram em julho de 2026. O primeiro episódio esvaziou 594 BTC, equivalentes a cerca de US$ 38 milhões, de aproximadamente 500 carteiras em apenas 25 minutos. Em 14 de agosto, a Galaxy Research já rastreava mais de 1.778 BTC roubados, aproximadamente US$ 112 milhões na época, distribuídos em três grandes ondas e dezenas de incidentes menores.

A Coinkite suspeita que os atacantes usaram inteligência artificial para analisar versões antigas do firmware de código aberto e identificar a falha. A Galaxy Research descreveu os ataques como deliberados, programáticos e possivelmente orquestrados por um modelo de linguagem de grande escala.

O que mudou no novo firmware

A principal mudança exige que o usuário contribua ativamente com aleatoriedade ao gerar uma nova seed: pelo menos 65 pressionamentos de teclas, 50 lançamentos de dados ou 128 lançamentos de moeda. O dispositivo combina esse input com sua própria fonte de aleatoriedade interna.

O gerador de números pseudoaleatórios Yasmarang, usado em backups, foi substituído pelo SHA-256 Hash_DRBG. A Coinkite também adicionou verificações para detectar falhas no gerador de números aleatórios de hardware.

Na camada de transações, o firmware agora valida uma PSBT (transação Bitcoin parcialmente assinada) imediatamente antes de assinar. Antes, um computador comprometido conectado via USB poderia, em teoria, alterar os dados da transação após a revisão do usuário. Se qualquer mudança for detectada, o processo é interrompido e um aviso é exibido. A empresa classificou esse vetor como teórico e afirmou não haver evidências de exploração.

“Estamos tratando isso como um lembrete sério de como todo o modelo de segurança de uma carteira de hardware depende da aleatoriedade. A criptografia é difícil, e implementá-la com segurança é ainda mais difícil. O incidente da Coldcard desta semana tornou isso visível da forma mais cara possível.”

Charles Guillemet, CTO da Ledger

A Coinkite também endureceu o controle de acesso USB, reforçou o Delta Mode e alterou o tratamento de backups de carteira.

SafePal confirma vazamento de dados de 40 mil clientes

Análise: Para investidores brasileiros que utilizam carteiras de hardware para autocustódia, o caso reforça a importância de manter o firmware sempre atualizado. Usuários de Coldcard que geraram seeds entre 2021 e julho de 2026 devem criar uma nova seed com o firmware atualizado e transferir seus fundos imediatamente, conforme orientação da Coinkite.

A investigação sobre os roubos segue em andamento. A empresa afirmou que autoridades policiais estão envolvidas, e os clientes afetados continuam movendo fundos para novas carteiras enquanto apuram as perdas.

Fontes: Decrypt

Leia também

• ETFs de Solana nos EUA acumulam US$ 1,16 bi em aportes
• Dívida dos EUA ultrapassa US$ 40 tri e reaviva debate sobre Bitcoin
• Trust Wallet remove suporte a 25 redes de criptomoedas em setembro