Ataque esvazia US$ 116 milhões em bitcoin de endereços criados no Coldcard

Ponto-chave: Um atacante transferiu cerca de 1.816 bitcoins — aproximadamente US$ 116 milhões — de mais de 5.200 endereços gerados em dispositivos Coldcard desde 30 de julho. A Galaxy Research identificou a maior varredura: 1.082 bitcoins retirados de 1.196 carteiras em apenas 41 minutos. A origem do problema remonta ao firmware 4.0.0 do Coldcard, distribuído em março de 2021, que incluía uma configuração de build orientando o dispositivo a ignorar o chip dedicado de aleatoriedade por hardware. Diante do episódio, o CEO da Coinkite, Rodolfo Novak, recomendou que usuários que geraram seeds em carteiras Coldcard migrem seus fundos seguindo práticas atualizadas. Segundo a empresa, quem gerou seeds com pelo menos 50 jogadas de dados (dice rolls) ou utilizou uma passphrase forte não foi afetado. Por que importa: Uma falha de entropia na geração de chaves pode transformar a autocustódia offline em exposição silenciosa das chaves, pressionando a confiança na segurança de carteiras de hardware. Sentimento de mercado: Cautelosamente baixista; foco em stress, tecnologia e redução de risco. Motivo: o esvaziamento reportado de endereços gerados no Coldcard tende a enfraquecer a confiança na segurança do hardware para autocustódia. Casos semelhantes: A Trust Wallet corrigiu uma vulnerabilidade em WebAssembly na extensão de navegador após o problema causar perdas de US$ 170.000 a usuários, segundo o The Block. O episódio evidenciou como uma geração fraca de seed pode deixar carteiras expostas mesmo sem phishing ou roubo do dispositivo. (The Block) A diferença central é que o caso da Trust Wallet envolvia software de extensão de navegador, enquanto o evento atual está ligado à geração de seed em uma carteira de hardware Coldcard. Efeito em cadeia: Dúvidas sobre entropia podem levar usuários a evitar custódia em um único dispositivo e a migrar para arranjos com mais controles operacionais. A demanda por custódia pode crescer se grandes detentores concluírem que o isolamento por hardware, por si só, não elimina riscos ocultos de implementação. Caso a Coinkite publique a revisão técnica e as orientações de migração, a contenção deve depender da velocidade com que usuários substituem seeds potencialmente vulneráveis. Oportunidades e riscos Oportunidades: Quando a Coinkite divulgar a revisão técnica, uma delimitação clara da falha pode funcionar como sinal de recomposição de confiança para usuários de carteiras de hardware. Se as orientações de migração forem restritas a um subconjunto específico, provedores de autocustódia com controles de entropia mais robustos podem ganhar credibilidade. Riscos: Se novas ondas esvaziarem endereços gerados no Coldcard, reduzir a exposição a um único dispositivo pode limitar o impacto operacional. Se a revisão técnica indicar uma exposição mais ampla na geração de seeds, o risco de custódia pode permanecer elevado entre usuários afetados.