Em 30 segundos
- Uma falha fez alguns aparelhos Coldcard criarem seeds previsíveis. Pesquisadores estimam até 1.816 BTC retirados de mais de 5.200 endereços desde 30 de julho.
- A Coldcard é uma carteira física de Bitcoin, mas o isolamento da internet não protege uma chave que já nasceu previsível.
- Usuários expostos precisam atualizar o firmware, criar uma seed nova, testar o endereço e migrar os fundos. Atualizar sem trocar a seed não resolve.
Uma falha no software da Coldcard fez alguns aparelhos criarem chaves previsíveis. A estimativa chega a 1.816 BTC retirados de mais de 5.200 endereços desde 30 de julho, perto de US$ 114 milhões. A quarta onda foi atribuída só por padrões on-chain, sem relato direto de vítimas no corte, por isso o total continua provisório. Em 4 de agosto, a Coldcard afirmou que a ameaça seguia ativa.
Uma Coldcard é uma hardware wallet, ou carteira física, feita pela Coinkite para guardar e movimentar bitcoin. O saldo continua registrado na rede Bitcoin. O aparelho protege a chave privada e assina transferências sem expor esse segredo ao computador ou à internet.
O ataque explorou uma falha anterior: a criação da chave. Um erro fez o aparelho usar números previsíveis para gerar a frase-semente, ou seed. Essa lista de palavras dá origem às chaves e aos endereços. Em alguns casos, a baixa aleatoriedade reduzia o trabalho necessário para recuperar a chave fora do aparelho.
A seed era o ponto de falha
Autocustódia significa que o usuário, e não uma exchange ou banco, controla as chaves. A seed funciona como o backup mestre. As palavras, junto com uma eventual passphrase, permitem reconstruir a carteira em outro aparelho e movimentar os fundos. A passphrase é uma senha adicional opcional. Por isso, esses segredos devem ser mantidos fora de serviços digitais e guardados longe de terceiros.
Segundo a análise técnica da Block, o firmware usou um gerador de software no lugar do gerador físico de números aleatórios do chip. A saída parecia aleatória, mas vinha de um conjunto menor de possibilidades.
Nos Mk2 e Mk3 afetados, o processo não acrescentava entropia criptográfica, a imprevisibilidade necessária para criar uma chave segura. Nos Mk4, Q e Mk5, a Coinkite estima preliminarmente um espaço efetivo de busca de 72 bits, abaixo do alvo de 128 bits. A Block afirma que apenas 32 bits de material seguro reinicializavam o gerador; o estado dos temporizadores ainda dificultava reproduzir o processo. Um espaço menor exige menos tentativas.
Ainda assim, um endereço público sozinho não bastava. Segundo a Block, o atacante precisava restringir a identidade do aparelho, o estado dos temporizadores e o histórico de chamadas ao gerador. Depois, um endereço ou uma chave pública estendida, chamada xpub, permitia validar candidatos. Se a chave correta fosse encontrada, ela autorizaria a transferência. A Block não publicou um benchmark ponta a ponta desse processo.
Quem precisa agir
A exposição depende da versão instalada quando a seed foi criada. Atualizar o aparelho depois não muda as palavras antigas. Transferir a mesma seed para outra hardware wallet também carrega o problema junto.
| Modelo | Seed potencialmente afetada | Versão corrigida antes de gerar nova seed |
|---|---|---|
| Mk2 ou Mk3 | Coinkite: 4.0.1 a 4.1.9; Block inclui 4.0.0 | 4.2.0 ou posterior |
| Mk4 ou Mk5 standard | anterior à 5.6.0 | 5.6.0 ou posterior |
| Mk4 ou Mk5 Edge | anterior à 6.6.0X | 6.6.0X ou posterior |
| Q standard | anterior à 1.5.0Q | 1.5.0Q ou posterior |
| Q Edge | anterior à 6.6.0QX | 6.6.0QX ou posterior |
Fonte: alerta oficial da Coinkite e análise da Block. Na dúvida sobre a versão 4.0.0 ou sobre o firmware usado na criação, a conduta conservadora é migrar.
A Block coloca o Mk1 e os firmwares Mk2/Mk3 até 3.2.2 fora da regressão. A Coinkite afirma que Opendime, Tapsigner e Satscard não foram afetados. O gerador fraco também alcançou carteiras de papel, chaves avulsas, máscaras de seed e algumas senhas; quem usou esses recursos deve consultar o alerta completo.
Segundo a Coinkite, duas medidas reduziram a exposição. Quem acrescentou pelo menos 50 lançamentos de um dado físico não viciado, independentes e privados, pela função Add Dice Rolls preservou ao menos 128 bits de entropia dos dados para este problema específico. Uma passphrase BIP-39 forte e exclusiva também criou uma barreira adicional. Ela não é o PIN do aparelho. Mesmo com a passphrase, o fabricante recomenda migrar; a exceção dos 50 lançamentos válidos não exige migração por este bug.
Nenhuma das três primeiras ondas observadas atingiu carteiras multisig, que exigem mais de uma assinatura. Isso não prova que todo arranjo multisig esteja protegido. Se houver chaves vulneráveis em número suficiente para atingir o limiar de assinaturas, o atacante ainda poderá formar o quórum. Para este bug, é preciso que menos chaves sejam vulneráveis do que o limiar necessário para gastar.
A correção exige uma carteira nova
O roteiro oficial deve ser seguido com calma. Uma migração apressada pode criar outro erro, como enviar o saldo ao endereço errado ou perder o novo backup.
- Confirme o modelo e instale a versão corrigida correspondente. Standard e Edge são linhas diferentes.
- Gere uma seed totalmente nova depois da atualização. Não reutilize as palavras antigas.
- Anote e confira o backup em ambiente privado. Nunca fotografe a seed, salve em nuvem ou digite em um site que prometa verificar a carteira.
- Confira no visor da própria Coldcard o endereço de recebimento da carteira nova.
- Envie primeiro um valor pequeno e confirme que ele chegou ao destino correto.
- Só então transfira o restante e espere as confirmações na rede.
- Mantenha o backup antigo apenas até verificar que a migração terminou.
Segundo a Coinkite, o firmware corrigido já pode gerar uma nova seed pelo fluxo normal, sem lançamentos de dado. A opção de usar um dado físico é avançada e não é necessária para corrigir este problema; improvisar o procedimento pode criar risco operacional. A prioridade é usar a versão certa e confirmar cada etapa.
Como comparar as formas de custódia
Escolher a forma de custódia exige comparar pontos de falha. Uma hardware wallet reduz a exposição a vírus no computador, mas ainda depende da qualidade do gerador de chaves, das atualizações e da disciplina de backup.
| Modelo | Vantagem | Principal risco |
|---|---|---|
| Uma hardware wallet | mantém uma única chave privada fora do computador | uma chave, um fabricante e a disciplina do usuário viram pontos de falha |
| Multisig com chaves e dispositivos independentes | reduz a dependência de uma única chave; só reduz a dependência de marca quando usa fabricantes distintos | configuração, backup e recuperação são mais complexos |
Fonte: Bitcoin.org e análise da Block.
A escolha depende do modelo de ameaça e da capacidade de manter backups, atualizações e recuperação, não apenas do valor. Uma hardware wallet atualizada pode servir a um processo simples e bem testado. Um multisig pode reduzir a dependência de uma única chave quando há menos chaves vulneráveis do que o limiar de gasto e as chaves seguras foram geradas e guardadas de forma independente.
Para acompanhar o caso, três sinais importam: a revisão da estimativa de 1.816 BTC, a publicação de um post-mortem técnico pela Coinkite e novas retiradas de endereços ligados às seeds vulneráveis. O cenário-base é que a exposição permaneça concentrada nas versões e funções já identificadas. Evidência de outros firmwares afetados invalidaria essa leitura.
Para quem usa uma Coldcard, a decisão imediata depende do firmware que gerou a seed, não da versão instalada hoje. Para os demais investidores, o caso mostra o limite da hardware wallet: manter a chave offline reduz um tipo de ataque, mas a segurança também depende de como a chave foi criada, guardada e substituída.
