Uma falha no firmware das carteiras físicas Coldcard está associada a três ondas de transferências suspeitas que retiraram 1.367,05 bitcoins de 4.585 endereços, segundo o rastreamento mais recente da Galaxy Research. Os ativos movimentados foram avaliados em aproximadamente US$ 88,6 milhões, mais que o dobro da estimativa inicial divulgada na sexta-feira, 31 de julho. O problema atingiu a geração das frases-semente — conjunto de palavras que controla o acesso às moedas — e permitiu que chaves privadas potencialmente previsíveis fossem reconstruídas fora dos aparelhos, sem uma invasão convencional dos dispositivos ou da rede Bitcoin.
A Coinkite, fabricante canadense responsável pela Coldcard, publicou um alerta de segurança e liberou atualizações emergenciais para os modelos afetados. A orientação não se limita a instalar a nova versão do sistema. Carteiras criadas com o firmware vulnerável precisam receber uma nova frase-semente, e os bitcoins devem ser transferidos para endereços derivados dessa nova chave.
O ponto é decisivo: atualizar o equipamento impede que novas carteiras sejam criadas pelo processo defeituoso, mas não modifica uma chave produzida anteriormente. Uma frase-semente comprometida continua exposta mesmo que tenha sido importada para outro dispositivo ou permaneça guardada em uma Coldcard desligada e sem conexão com a internet.
A falha na Coldcard atinge uma das premissas centrais da autocustódia de criptoativos. Carteiras físicas são usadas para manter chaves privadas fora de computadores e serviços conectados, reduzindo o risco de ataques contra corretoras ou aplicativos. Nesse caso, porém, a fragilidade surgiu no momento em que a própria chave foi criada.
Prejuízo estimado mais que dobra após rastreamento da blockchain
As primeiras informações indicavam a retirada de cerca de 594 bitcoins de aproximadamente 500 carteiras. Parte dos recursos, equivalente a 562 bitcoins, foi reunida em um único endereço. O volume inicial foi estimado em US$ 38 milhões e levou a Coinkite a emitir as primeiras orientações de emergência.
A análise posterior ampliou substancialmente o alcance do incidente. A Galaxy Research identificou uma primeira onda maior, com 1.082,65 bitcoins retirados de 1.196 endereços em um intervalo de 41 minutos no dia 30 de julho. O grupo de transações foi avaliado em aproximadamente US$ 70,2 milhões.
Outras duas sequências elevaram o saldo total associado ao ataque. A segunda teria alcançado 1.478 endereços e movimentado 76,16 bitcoins. A terceira atingiu mais 1.912 endereços, dos quais foram retirados cerca de 208 bitcoins.
Com isso, o levantamento passou a indicar 1.367,05 bitcoins movimentados a partir de 4.585 endereços. A cifra de US$ 88,6 milhões considera a cotação usada pelos pesquisadores na análise das transferências.
O número de endereços não equivale necessariamente ao total de investidores atingidos. Um mesmo proprietário pode controlar diversas carteiras, enquanto uma carteira também pode utilizar vários endereços para receber recursos. A blockchain registra as operações, mas não revela automaticamente a identidade de quem enviou, recebeu ou controlava os ativos.
Os padrões observados, entretanto, mostram uma operação coordenada. As primeiras transações concentraram-se em endereços com saldos mais elevados. Nas ondas seguintes, os responsáveis passaram a alcançar carteiras menores e alteraram a forma de reunir os bitcoins, tornando o rastreamento mais complexo.
Até o momento, não há identificação pública dos responsáveis nem confirmação de que as três ondas foram executadas pelo mesmo grupo. Também não existe uma contagem definitiva de todas as carteiras vulneráveis que ainda mantêm recursos.
Erro substituiu fonte segura de aleatoriedade
A investigação conduzida pelas equipes de engenharia e segurança de bitcoin da Block localizou a origem da falha em uma alteração feita no código da Coldcard em março de 2021. O problema não estava na criptografia do Bitcoin, mas no mecanismo utilizado pelo firmware para produzir números aleatórios.
Para criar uma carteira, o dispositivo precisa gerar uma sequência imprevisível de dados. Essa sequência dá origem à frase-semente e, posteriormente, às chaves privadas usadas para autorizar as transações. Quanto maior e mais aleatório o conjunto inicial, menor a possibilidade de alguém reproduzir a combinação por tentativa e erro.
As frases-semente de 12 palavras utilizadas no padrão BIP-39 devem oferecer 128 bits de entropia. Esse nível cria um universo de possibilidades tão amplo que a busca sistemática pela combinação correta seria impraticável com a tecnologia disponível.
A análise da Block mostrou que uma falha de integração levou o firmware a recorrer ao Yasmarang, um gerador de números pseudoaleatórios do MicroPython, em vez de utilizar diretamente o gerador físico presente no microcontrolador STM32.
O problema surgiu na leitura de uma configuração chamada MICROPY_HW_ENABLE_RNG. A Coldcard definia essa opção como zero porque utilizava uma implementação própria para acessar a fonte física de aleatoriedade. A biblioteca integrada ao firmware, contudo, verificava apenas se a configuração estava definida, sem considerar que seu valor era zero.
O sistema compilava e funcionava aparentemente sem erros. Na prática, porém, passava a produzir números a partir de informações como o identificador do microcontrolador e registros internos de tempo. Esses elementos variam, mas não são fontes criptográficas adequadas porque podem ser descobertos, estimados ou limitados por um atacante.
Nas versões afetadas dos modelos Mk2 e Mk3, não havia acréscimo de uma fonte criptograficamente segura ao gerador utilizado para criar a carteira. Conhecendo ou restringindo o identificador do chip, o estado dos temporizadores e a sequência de chamadas ao sistema, um atacante poderia tentar reproduzir as chaves fora do aparelho.
Modelos recentes também receberam correção emergencial
A falha na Coldcard não ficou restrita aos equipamentos mais antigos. Os modelos Mk4, Mk5 e Q incorporavam informações produzidas por componentes de segurança, mas a forma como esses dados eram processados limitava a proteção oferecida.
Segundo a análise técnica da Block, dois componentes forneciam informações adicionais. O firmware reunia esses dados e aplicava uma função criptográfica, mas aproveitava apenas quatro bytes do resultado para reinicializar o gerador pseudoaleatório. Na prática, apenas 32 bits oriundos desse processo eram incorporados diretamente à reinicialização.
A Coinkite estimou que as sementes geradas nos modelos Mk4, Mk5 e Q antes das correções poderiam conter cerca de 72 bits de entropia, bem abaixo dos 128 bits esperados. Embora a exposição seja menos grave do que nos modelos Mk2 e Mk3, a fabricante classificou o problema como sério e orientou a substituição das sementes.
Aplicar uma função criptográfica ao resultado final não recupera a aleatoriedade perdida. Uma sequência previsível pode ser transformada matematicamente, mas o número de combinações possíveis continuará limitado pelo material original.
A Block advertiu que a viabilidade prática de reconstruir cada carteira varia. O custo depende das informações disponíveis sobre o equipamento, do momento em que ele foi inicializado, do histórico de uso do gerador e do tipo de carteira criada. O relatório não afirma que qualquer pessoa possa recuperar imediatamente todas as chaves afetadas.
As transferências já observadas, entretanto, demonstram que a vulnerabilidade deixou de ser apenas teórica. A movimentação coordenada de milhares de endereços indica exploração ativa de um conjunto de chaves com características semelhantes.
Divergência alcança primeira versão afetada
A investigação das fontes primárias aponta uma diferença pontual sobre o início da vulnerabilidade nos modelos antigos. A Coinkite orientou que os usuários tratem como afetadas as sementes geradas nos modelos Mk2 e Mk3 com as versões 4.0.1 a 4.1.9 do firmware.
A análise independente da Block rastreou a alteração de código até a versão 4.0.0, lançada em 17 de março de 2021. O relatório identificou um commit de 1º de março daquele ano que substituiu o acesso direto ao gerador físico por uma chamada que terminava no sistema pseudoaleatório.
Para fins de segurança, proprietários que não sabem exatamente qual versão foi utilizada na criação da carteira devem considerar a semente potencialmente exposta. O risco depende do firmware instalado naquele momento, e não da versão usada atualmente ou da data de fabricação do equipamento.
Os modelos Mk2 e Mk3 anteriores à mudança utilizavam diretamente o gerador físico do microcontrolador. O modelo Mk1 ficou fora da regressão identificada. Tapsigner, Opendime e Satscard também não foram incluídos no alerta porque utilizam bases de código diferentes.
A Coinkite informou que sua investigação permanece em andamento e que uma revisão técnica mais completa será divulgada. Até que essa análise seja concluída, as orientações adotam uma abordagem preventiva para todos os modelos nos quais a geração de sementes passou pelo caminho defeituoso.
Atualização não recupera frase-semente antiga
A fabricante disponibilizou a versão 4.2.0 para os modelos Mk2 e Mk3. Para as linhas Mk4 e Mk5, a correção está na versão padrão 5.6.0 ou na versão Edge 6.6.0X. O modelo Q deve utilizar a versão padrão 1.5.0Q ou a Edge 6.6.0QX.
A numeração das linhas padrão e Edge não deve ser comparada diretamente. Um firmware Edge 6.x anterior à versão corrigida não é considerado protegido apenas por apresentar um número superior ao da versão padrão.
Depois de confirmar a instalação da correção, o usuário deve gerar uma carteira nova, registrar a frase de recuperação e verificar o endereço de recebimento na tela do dispositivo. A orientação é enviar inicialmente uma pequena quantia e confirmar que a carteira funciona antes de transferir o restante do saldo.
A carteira antiga só deve ser abandonada depois que todos os recursos chegarem ao novo endereço e forem confirmados na blockchain. Apagar a frase anterior ou perder seu backup antes de concluir a migração pode criar uma perda adicional e irreversível.
A troca do aparelho não é obrigatória para resolver especificamente a falha na Coldcard. Os modelos antigos podem gerar uma nova frase corretamente depois da atualização. O elemento indispensável é substituir a semente criada pelo firmware vulnerável.
Transferir a mesma frase para uma carteira de outra fabricante tampouco elimina o problema. A exposição pertence à chave. O novo dispositivo apenas passaria a guardar uma combinação que já nasceu com um universo reduzido de possibilidades.
Dados adicionais podem reduzir exposição, mas não eliminam migração
A Coinkite apresentou duas situações que podem dificultar a exploração. A primeira envolve usuários que adicionaram lançamentos de dados durante a criação da carteira. Quando realizados de maneira independente, privada e verdadeiramente aleatória, esses lançamentos acrescentam uma fonte externa de entropia.
Segundo a fabricante, pelo menos 50 lançamentos de um dado comum, feitos sem registro ou exposição dos resultados, adicionariam ao menos 128 bits de entropia. Com 99 ou mais lançamentos, a contribuição ficaria próxima de 256 bits.
A exceção só vale para quem tem certeza de que utilizou o recurso, completou o número mínimo e manteve os resultados em segredo. Em caso de dúvida, a recomendação é substituir a frase-semente.
A segunda barreira é uma senha BIP-39 forte, exclusiva e separada da frase principal. Nesse tipo de carteira, um atacante que reconstruísse a semente ainda precisaria descobrir a senha adicional para alcançar os fundos.
A proteção não deve ser confundida com o PIN utilizado para desbloquear o aparelho. Senhas curtas, previsíveis, baseadas em citações ou reutilizadas em outros serviços podem ser testadas por força bruta.
Mesmo para usuários protegidos por uma senha robusta, a orientação da Coinkite é migrar os recursos assim que possível. A senha reduz a urgência imediata, mas não corrige a falha presente na frase-semente original.
Caso pressiona mercado de autocustódia de bitcoin
O episódio não representa uma invasão da blockchain nem uma quebra da criptografia do Bitcoin. As transações foram aceitas porque os responsáveis aparentemente obtiveram chaves privadas válidas. Para a rede, uma assinatura correta é suficiente para autorizar a movimentação.
A falha ocorreu na camada de geração e armazenamento das credenciais. Isso separa o incidente de ataques contra corretoras, pontes de blockchain ou protocolos financeiros descentralizados, nos quais os criminosos costumam explorar sistemas conectados e contratos inteligentes.
O fato de os aparelhos poderem operar sem acesso direto à internet não impediu o ataque. Uma carteira desconectada protege a chave contra várias formas de invasão remota, mas não corrige uma credencial criada com aleatoriedade insuficiente.
Depois que um endereço recebe bitcoins e passa a constar na blockchain, ele oferece uma referência pública para testar possíveis chaves. O responsável pelo ataque pode gerar combinações fora da rede, comparar os resultados com os endereços conhecidos e movimentar os recursos ao encontrar uma correspondência.
O caso recoloca no centro do mercado a qualidade do firmware, as auditorias independentes e a capacidade dos fabricantes de identificar regressões em códigos abertos. A Coldcard é apresentada como uma carteira voltada a usuários que priorizam autocustódia e isolamento das chaves, o que aumenta a repercussão de uma falha no próprio processo de criação dessas credenciais.
A dimensão final das perdas ainda permanece aberta. O rastreamento da Galaxy Research ampliou a estimativa inicial de US$ 38 milhões para US$ 88,6 milhões em poucos dias, enquanto carteiras potencialmente expostas podem continuar com saldo.
Para os usuários dos modelos afetados, o risco não termina com a publicação do alerta. A vulnerabilidade só deixa de acompanhar os recursos quando eles são enviados para endereços controlados por uma frase-semente nova, gerada após a instalação do firmware corrigido ou por um processo independente e seguro.
Fontes:
Alerta de segurança da Coinkite; documentação oficial de firmware da Coldcard; análise técnica das equipes de engenharia e segurança de bitcoin da Block; rastreamento público de transações divulgado pela Galaxy Research.
