Exploit em Coldcard supera US$ 100 milhões com 1.596 BTC roubados

O que começou como a suspeita de uma grande falha em carteira de hardware evoluiu para uma investigação forense bem mais ampla, à medida que novas evidências ampliam o tamanho do caso. As primeiras análises atribuíram o exploit envolvendo a Coldcard a 4.585 endereços em três ondas de ataques, com roubo de cerca de 1.367 Bitcoin (BTC), estimados em aproximadamente US$ 88,6 milhões. Mais tarde, investigadores apontaram outros 1.912 endereços afetados, elevando as perdas em 207,73 BTC e indicando que as moedas roubadas permaneciam sem gastos. Esse comportamento sugeriu que o agente por trás do ataque buscou consolidar os recursos, sem pressa para liquidá-los. Desde então, o levantamento voltou a crescer. As perdas confirmadas agora somam mais de 1.596 BTC, acima de US$ 100 milhões, distribuídos por cerca de 7.300 endereços. A Galaxy Research também identificou 14 incidentes menores relacionados, levando as perdas suspeitas para perto de 2.000 BTC, ou quase US$ 130 milhões. O episódio se destaca como uma das falhas mais graves do Bitcoin ligadas à segurança de custódia e reacende dúvidas sobre a robustez de carteiras de hardware. Dados on-chain reforçam a apuração Com a ampliação do escopo, a análise on-chain passou a detalhar como o BTC roubado vem sendo administrado após os ataques. As três ondas confirmadas seguem como base do caso, e uma quarta onda sob suspeita pode levar o total a 2.055 BTC (cerca de US$ 130 milhões), caso vítimas confirmem a inclusão. Os movimentos de fundos mantêm um padrão consistente. Noventa por cento do Bitcoin roubado segue intocado. Além disso, as moedas transferidas nas Ondas 1, 2 e 3 permanecem nos endereços de recebimento. Essa inatividade aumentou a confiança dos investigadores para mapear carteiras sob controle do atacante e localizar outros endereços vinculados. Ao mesmo tempo, pequenos eventos de roubo identificados mais recentemente indicam que agentes oportunistas podem ter explorado condições semelhantes após o comprometimento inicial. Com a atribuição on-chain mais precisa, investigadores vêm repassando endereços verificados a autoridades, corretoras e empresas de compliance, elevando as chances de rastrear movimentações futuras e reduzindo oportunidades de conversão em dinheiro. Exploit pressiona a confiança na autocustódia Além do alcance técnico, o incidente colocou em xeque uma premissa antiga do Bitcoin: a segurança da autocustódia. A apuração não aponta um problema inerente à autocustódia, e sim a necessidade de carteiras bem projetadas e de geradores de entropia independentes. O caso reforça boas práticas de proteção ao usuário, como o uso de multisig e métodos de backup mais robustos. Em resposta, a Coinkite lançou um firmware emergencial, suspendeu envios e orientou usuários a criar sementes (seeds) totalmente novas antes de mover os fundos. Atualizações de software, porém, não conseguem corrigir sementes fracas geradas anteriormente. A recuperação da confiança deve depender de auditorias de segurança transparentes, aleatoriedade verificável e padrões mais claros para o setor. Nesse sentido, o exploit pode mudar a forma como usuários protegem seus Bitcoins, sem necessariamente desestimular a autocustódia. Resumo final O exploit na Coldcard já ultrapassa US$ 100 milhões, configurando uma das maiores quebras de segurança envolvendo carteira de hardware. O episódio está acelerando a adoção de práticas mais rigorosas de proteção e segurança na autocustódia.