CoinDesk
Uma falha no firmware das carteiras de hardware Coldcard, que remontava a março de 2021, permitiu a um atacante reconstruir chaves privadas offline e drenar aproximadamente $70M em bitcoin de 1.196 endereços ao longo de cerca de 41 minutos, em 30 de julho. A análise da Galaxy Research reviu em alta a cifra inicialmente identificada on-chain, de 594 BTC (cerca de $38M) drenados de aproximadamente 500 carteiras, e indicou que muitos dos endereços afetados estavam inativos há anos. A Coinkite, fabricante da Coldcard, reconheceu o bug e lançou correções de emergência para o firmware, mas avisa que atualizar, por si só, não protege uma seed vulnerável já gerada. Os utilizadores são aconselhados a criar seeds totalmente novas em dispositivos corrigidos e a migrar os fundos com cuidado.
Porque é importante
O ataque põe em causa a forma como os detentores de criptoativos há muito encaram a autocustódia. As carteiras de hardware são habitualmente vistas como a opção mais robusta para o armazenamento a frio no retalho, partindo do princípio de que o isolamento físico mantém as chaves a salvo de ataques remotos. O caso da Coldcard mostra que essa suposição é incompleta: uma única falha na entropia da geração de seeds, não detetada durante mais de quatro anos, bastou para drenar um montante de nove dígitos sem que qualquer dispositivo tivesse sequer sido tocado. O fundador da Binance, Changpeng Zhao, resumiu esta mudança de perspetiva no sábado: escreveu que «até as carteiras de hardware podem ter falhas» e instou os detentores a repartir os fundos por várias carteiras, reconhecendo que a diversificação traz as suas próprias exigências de gestão de chaves.
Impacto no mercado
O exploit reacende um debate antigo sobre o limite prático da autocustódia baseada num único dispositivo para saldos elevados de BTC. A cifra coloca a Coldcard a par de outros incidentes relevantes com carteiras de hardware, lembrando que uma longa presença no mercado não garante uma geração segura de seeds. Será importante acompanhar se os fabricantes concorrentes de carteiras de hardware Trezor e Ledger registam uma procura adicional por parte de utilizadores que migrem da Coldcard, e se as orientações de migração da Coinkite são seguidas com rigor suficiente para evitar uma nova drenagem de seeds vulneráveis que ainda permaneçam em dispositivos corrigidos.
Perguntas frequentes
-
O que aconteceu no exploit da Coldcard?
Uma falha no firmware, que remontava a março de 2021, enfraqueceu a aleatoriedade na geração de seeds em determinados modelos da Coldcard. Um atacante reconstruiu chaves privadas offline e drenou cerca de $70M em BTC de 1.196 endereços ao longo de aproximadamente 41 minutos, em 30 de julho.
-
Quanto bitcoin foi roubado no ataque à Coldcard?
Os primeiros relatos on-chain apontaram para cerca de 594 BTC ($38M). Mais tarde, a Galaxy Research elevou a cifra para 1.082,65 BTC, aproximadamente $70M na altura, retirados de 1.196 endereços.
-
O que recomenda a Coinkite aos utilizadores da Coldcard?
A Coinkite lançou atualizações de emergência do firmware e pede aos utilizadores que geraram seeds em versões afetadas que criem seeds totalmente novas em dispositivos corrigidos e migrem os fundos com cuidado. Atualizar apenas o firmware não protege uma seed vulnerável já criada.
-
O que disse CZ sobre o exploit da Coldcard?
O fundador da Binance, Changpeng Zhao, publicou no X que até as carteiras de hardware podem ter falhas e sugeriu dividir os fundos por várias carteiras como medida de mitigação, observando que a diversificação introduz os seus próprios riscos de gestão de chaves.
-
O exploit da Coldcard significa que as carteiras de hardware não são seguras?
O caso mostra que carteiras de hardware estabelecidas há muito tempo podem ocultar falhas na geração de seeds não detetadas durante anos. Não invalida a segurança das carteiras de hardware em geral, mas leva os detentores com saldos elevados a ponderar estratégias com várias carteiras e vários fabricantes.
CryptoSlate
TheBlock
WuBlockchain
Crypto Rank News