Exploit em carteiras Coldcard drenou US$ 70,2 mi em Bitcoin de 1.196 endereços em 41 minutos; falha vem de firmware de março de 2021.
Um defeito em carteiras físicas Coldcard resultou no roubo de aproximadamente 1.082,65 BTC, cerca de US$ 70,2 milhões, de 1.196 endereços em um intervalo de apenas 41 minutos, no dia 30 de julho. O levantamento é da Galaxy Research, que mapeou o fluxo de fundos a partir de um padrão identificado por engenheiros da Block, empresa de Jack Dorsey, e representa quase o dobro da estimativa inicial de US$ 38 milhões.
O problema tem origem em um erro de compilação de firmware enviado em março de 2021 pela fabricante Coinkite. Nas unidades afetadas, as seeds, sequências que geram as chaves privadas da carteira, foram criadas a partir de um gerador de números aleatórios por software, e não do chip de hardware dedicado ao processo. Isso tornou as chaves privadas muito mais fáceis de adivinhar do que o esperado. Atualizar o firmware não corrige uma seed já gerada em um dispositivo comprometido.
Hot wallet vs cold wallet: segurança e praticidade em cripto
Segundo a análise da Galaxy Research divulgada pelo Decrypt, todas as transações do ataque pagaram uma taxa idêntica e predefinida e não deixaram troco, característica apontada como típica de uma ferramenta automatizada agindo com chaves já em posse do atacante, e não de donos movendo seus próprios fundos. O Bitcoin roubado foi consolidado em poucos endereços em questão de minutos e, de acordo com a Galaxy, não foi movimentado desde então.
As vítimas incluíam endereços dos tipos native SegWit e formatos mais antigos, o que indica uma varredura de chaves em múltiplos padrões. O escopo inicial apontava para cerca de 594 BTC drenados de aproximadamente 500 carteiras; os números finais quase dobraram após a análise mais detalhada do fluxo on-chain.
CZ alerta: nenhuma solução é 100% segura
O fundador da Binance, Changpeng “CZ” Zhao, reagiu ao caso em uma publicação no X, reforçando que mesmo carteiras físicas, consideradas o padrão mais seguro de custódia própria, podem conter falhas.
“Nothing is 100%”
Changpeng “CZ” Zhao, fundador da Binance
Zhao sugeriu que os detentores considerem distribuir seus fundos entre múltiplas carteiras como forma de reduzir a exposição, reconhecendo que essa abordagem também tem limitações e que nenhuma configuração é totalmente à prova de falhas. Ele encerrou o post com seu bordão habitual: “Stay SAFU!”
Golpes cripto custaram US$ 80,7 bi a americanos em 2025
A Coinkite lançou correções de emergência e orientou os usuários expostos a migrar para seeds geradas em novos dispositivos, única forma de eliminar o risco para quem criou carteiras no período afetado.
📍 Impacto no Brasil (análise): O Brasil figura entre os países com maior número de detentores de Bitcoin em custódia própria na América Latina. Usuários brasileiros que adquiriram carteiras Coldcard próximas ao período do firmware de março de 2021 devem verificar com a Coinkite se seus dispositivos estão entre os afetados e seguir as orientações de migração de seed divulgadas pela fabricante.
A Coinkite ainda não divulgou um cronograma detalhado de suporte às vítimas. O mercado aguarda posicionamento oficial sobre eventual ressarcimento e sobre medidas adicionais de auditoria do processo de geração de entropia em seus dispositivos.
Fontes: Decrypt
Leia também
- Exploit no Coldcard drena US$ 70 mi e CZ alerta holders de Bitcoin
- Google remove ferramenta de IA do Earth um dia após lançamento
- Frax debate resgates antecipados e novo mercado de stablecoins em DeFi
