Uma falha nas carteiras frias Coldcard, fabricadas pela canadense Coinkite, permitiu que hackers desviassem cerca de US$ 110 milhões em Bitcoin de aproximadamente 5 mil carteiras. O ataque, que segue em andamento, comprometeu a segurança de um dos dispositivos mais confiáveis para armazenamento offline de criptomoedas. Os dados foram divulgados pela Galaxy Research, que monitorou as movimentações das carteiras afetadas.
Na última sexta-feira, as perdas estimadas eram de US$ 38 milhões, mas o valor subiu rapidamente durante o fim de semana, conforme os invasores continuaram a esvaziar contas. Até segunda-feira, mais de 1.755 Bitcoins haviam sido retirados de aproximadamente 5.000 carteiras, segundo a Galaxy Research.
Como a vulnerabilidade foi explorada
A Coldcard é uma marca de carteiras de hardware que mantém as chaves privadas isoladas da internet, sendo considerada uma das opções mais seguras para guardar Bitcoin. No entanto, um relatório da equipe de engenharia da Block Inc. apontou que a frase-semente gerada pelo dispositivo era previsível. A falha estava no gerador de números aleatórios, que usava um mecanismo de contingência com valores determinísticos, como os números de série dos aparelhos.
Com isso, os hackers conseguiram recalcular as chaves e esvaziar as carteiras dos usuários de forma sistemática. “Isso expõe a falácia de que sua criptografia funciona offline”, disse Aneirin Flynn, diretor executivo da Failsafe, empresa de segurança cibernética. “O dispositivo é responsável apenas por gerar suas senhas e, se o cálculo subjacente for comprometido, suas senhas podem ser revertidas por meio de engenharia reversa.”
Vítima relata esvaziamento total
Um dos usuários atingidos, Jonathan Goodman, contou à Bloomberg que inicialmente imaginou que não seria afetado, mas decidiu verificar sua carteira. “No momento em que carregou, eu soube que estava ferrado porque vi linhas vermelhas indicando saques”, afirmou. “Entre 21h36 e 21h43 do dia 29 de julho, todas as minhas três carteiras foram completamente esvaziadas.”
Em comunicado em seu site, a Coinkite confirmou que os fundos controlados por sementes geradas no firmware afetado estão em risco. A empresa informou que o firmware corrigido já está disponível para todos os modelos e versões impactados, e recomendou que os usuários migrem seus ativos para novas carteiras.
Cenário de ataques em 2026
O caso Coldcard expõe vulnerabilidades mesmo em soluções consideradas de alta segurança. Até o momento em 2026, o valor total de criptomoedas roubadas diminuiu em relação ao ano passado. O primeiro semestre registrou perdas de US$ 972 milhões, menos da metade dos US$ 2,3 bilhões roubados no mesmo período de 2025, segundo relatório da TRM Labs.
No entanto, o número total de ataques cibernéticos subiu para 207, o maior já registrado em um semestre. Ari Redbord, chefe global de políticas da TRM, afirmou que vulnerabilidades de infraestrutura representam cerca de 15% dos incidentes, mas respondem por 76% das perdas. “O caso Coldcard demonstra que a autocustódia transfere o risco, não o elimina.”
Para Goodman, o incidente revelou a “fé cega” na tecnologia. Ele afirmou que não pretende investir novamente em Bitcoin nem usar carteiras frias. “Se for realmente tão complicado e técnico, talvez não valha a pena”, disse. “Ninguém sabe como praticamente nada funciona.”
