Cada história da Zipp etiquetada #HardwareWallet, a mais nova primeiro.
O HWI continua aberto e os dispositivos suportados continuam a funcionar, mas o sucessor BHWI distribui testes de paridade para apenas quatro dispositivos, sem nenhuma wallet em produção.
A Ledger integrou a correção de uma vulnerabilidade a 5 de maio e a outra a 25 de maio. Foram publicadas em agosto. O intervalo entre a integração e o lançamento é a leitura incómoda para os clientes de carteiras hardware.
O montante de 683M ZIL chama a atenção, mas o verdadeiro ponto a reter para qualquer token que ainda dependa de assinaturas nativas numa carteira de hardware é a sobrevivência, durante sete anos, do bug dentro de uma aplicação assinada pela Ledger.
A falha era estrutural e não aleatória: uma flag de funcionalidade tratada como presente permitiu aos atacantes reconstruir chaves privadas a partir de um único toque num botão, e a Coinkite afirma que já houve perdas graves, embora não tenha sido publicado qualquer número de vítimas nem total de perdas verificado.
A correção reforça o RNG e o fluxo de assinatura, mas as seeds geradas em firmware afetado entre 2021 e julho de 2026 ainda precisam de ser substituídas. A auditoria assistida por IA é o sinal mais amplo para o setor.
Os $100M em roubo físico são o grande título; a violação de 40.000 registos é o aviso estrutural. A segurança de uma hardware wallet significa agora controlar o que está por trás do dispositivo, não apenas o dispositivo em si.
A falha permaneceu em código aberto durante cinco anos enquanto uma comunidade assente no princípio 'não confie, verifique' terceirizava o seu discernimento para a reputação de um único fornecedor, defende Zach Herbert, CEO da Foundation.
Chaves privadas e frases-semente não foram afetadas, mas nomes, moradas e dados de contacto estão agora expostos, dando aos atacantes um conjunto de dados de phishing limpo que vai persistir muito para além da correção.
A Galaxy Research rastreou 1.596 BTC roubados em três ondas de ataques confirmadas, com uma quarta onda suspeita que poderia elevar as perdas totais para cerca de 2.000 BTC.
Cerca de 38 milhões de dólares foram retirados de sementes de assinatura única geradas entre 2021 e 2023, e a exploração é irremediável por design: qualquer correção de firmware alertaria os atacantes sobre carteiras que ainda mantêm fundos.
A falha na aleatoriedade das seeds permanecia oculta no firmware desde março de 2021 e passou despercebida durante anos, expondo o limite prático da autocustódia baseada num único dispositivo para detentores de BTC com saldos elevados.
Quase 1.200 endereços e 1.000 BTC depois, o incidente passou de phishing isolado para uma drenagem coordenada, alertando utilizadores de autocustódia para o risco de cadeia de abastecimento em carteiras físicas.
Um intervalo de três anos entre o firmware final da Coldcard para a Mk3 e o aviso transforma carteiras de cold storage dormentes num passivo de manutenção, com uma assinatura e sem passphrase como o pior cenário de custódia.
O roubo de 38 milhões de dólares de uma única carteira comprometida torna este o maior ataque à cadeia de fornecimento de hardware wallets de que há registo, com a Coldcard a apontar os utilizadores para uma fragilidade crítica no firmware.
As cripto ficaram de fora da recuperação bolsista mais forte do ano, com o BTC nos $64.300 mesmo depois de um exploit a carteiras Coldcard de $38 milhões ter retirado 594 bitcoin off-chain sem mexer no mercado.
As carteiras de assinatura única esvaziadas estavam inativas há anos, mas o bug de firmware subjacente estava ativo desde março de 2021, expondo também chaves de carteiras em papel e máscaras de divisão de seeds.
Cerca de 500 endereços de carteira foram drenados num padrão associado a uma falha de firmware da Mk3, elevando o total roubado para mais de $35M e forçando a Coinkite a sinalizar todos os dispositivos que geraram uma seed na versão 4.0.1 ou superior.
A falha permite recuperar chaves privadas a partir de qualquer assinatura onchain afetada; as transações EVM e os SDKs não são afetados, o que limita a superfície de ataque.
A diferença decisiva está no modelo de backup: a DCENT S inclui uma R3covery Card sem capacidade de assinatura, enquanto a Tangem duplica cartões com assinatura completa, num compromisso entre segurança segmentada e redundância imediata.
A autorização de transações fica num dispositivo físico, pelo que um agente autónomo pode ler saldos e preparar swaps, mas nunca transmiti-los sem um toque humano.
CryptoSlate
CoinDesk
TheBlock
Altcoin Daily
Crypto News