Coldcard lança medidas de segurança após roubo de 130 milhões de dólares em Bitcoin
Fonte: Decrypt·Publicado em 21/08/2026 às 22:01
A fabricante das carteiras de hardware Coldcard, a Coinkite, divulgou uma revisão completa de segurança após uma falha crítica ter permitido que atacantes roubassem mais de 100 milhões de dólares em Bitcoin. Segundo a Decrypt, a empresa apelou aos utilizadores dos modelos Mk4, Mk5 e Q para atualizarem imediatamente para o firmware 5.6.1 ou 1.5.1Q.
A atualização surge após uma revisão de três semanas aos sistemas da Coldcard, que incluiu a colaboração de investigadores de segurança externos e modelos de inteligência artificial, incluindo o Kimi. A empresa expressou gratidão aos investigadores que dedicaram esforços extraordinários nas últimas semanas a reportar problemas, reproduzir casos extremos e rever as correções implementadas.
Os ataques começaram em julho, quando hackers exploraram uma falha de firmware que remonta a 2021 e que gerava algumas sementes de carteiras com aleatoriedade insuficiente, tornando as chaves privadas mais fáceis de adivinhar. O primeiro ataque drenou 594 BTC, no valor de cerca de 38 milhões de dólares, de aproximadamente 500 carteiras em apenas 25 minutos. A Coinkite sugeriu que os atacantes poderão ter usado inteligência artificial para examinar versões antigas do seu firmware de código aberto e descobrir a vulnerabilidade.
No início de agosto, a Galaxy Research rastreou cerca de 88,6 milhões de dólares roubados através de 4.585 endereços, concluindo que os ataques pareciam deliberados, programáticos e potencialmente orquestrados através de um modelo de linguagem de grande escala. A 14 de agosto, a mesma empresa de investigação reportou que os atacantes tinham roubado mais de 1.778 BTC, no valor de aproximadamente 112 milhões de dólares na altura, através de três grandes vagas de ataques e dezenas de incidentes menores. No total, a exploração da Coldcard resultou em cerca de 130 milhões de dólares em Bitcoin roubado.
A falha levantou questões sobre a entropia, a aleatoriedade utilizada para gerar chaves de carteiras. Em alguns dispositivos afetados, o problema reduziu a segurança de 128 bits de entropia para aproximadamente 40 bits, tornando as sementes das carteiras mais fáceis de adivinhar sem acesso físico ao dispositivo. A Coinkite corrigiu problemas relacionados com a assinatura de transações, tratamento de dados USB, validação de firmware, Modo Delta e cópias de segurança de carteiras.
A Coldcard passou agora a exigir que os utilizadores adicionem aleatoriedade ao gerar uma semente de carteira, através de pelo menos 65 toques de tecla, 50 lançamentos de dados ou 128 lançamentos de moeda, que o dispositivo combina com a sua própria aleatoriedade. A fabricante substituiu também o seu gerador de números pseudoaleatórios de backup Yasmarang pelo SHA-256 Hash_DRBG e adicionou verificações destinadas a detetar falhas no gerador de números aleatórios de hardware. Os utilizadores que possam ter gerado sementes em versões afetadas entre 2021 e julho de 2026 devem criar uma nova semente usando o firmware atualizado e transferir o seu Bitcoin.
O firmware atualizado verifica agora uma transação Bitcoin parcialmente assinada, ou PSBT, imediatamente antes de a assinar. Anteriormente, um computador comprometido ligado por USB poderia teoricamente alterar uma transação após o utilizador a rever, mas antes da Coldcard a assinar. O novo firmware interrompe o processo de assinatura e exibe um aviso se a transação tiver sido alterada. A Coinkite descreveu o problema como teórico e não confirmou que tenha sido explorado. Charles Guillemet, CTO da Ledger, afirmou que este incidente serve como um lembrete sério de como todo o modelo de segurança de uma carteira de hardware vive ou morre com base na aleatoriedade, sublinhando que a criptografia é difícil e implementá-la de forma segura é ainda mais complexo.
A investigação sobre os roubos permanece em curso enquanto os clientes afetados continuam a mover fundos para novas carteiras. As autoridades policiais continuam a investigar os roubos e trabalham para identificar os responsáveis, mantendo a Coinkite informada dos desenvolvimentos materiais. A empresa reiterou o seu compromisso de apoiar todos os clientes que estão a trabalhar na migração dos seus fundos até que o processo esteja concluído.