Milhares de carteiras de Bitcoin projetadas para manter as chaves longe da internet foram esvaziadas sem que os invasores precisassem tocar nos dispositivos. O ataque explorou uma falha introduzida no firmware da Coldcard em 2021 que reduzia a aleatoriedade usada na criação das frases-semente, tornando algumas delas vulneráveis a ataques de força bruta.

As estimativas sobre o prejuízo ainda variam. A cobertura inicial identificou cerca de 594 BTC retirados de aproximadamente 500 carteiras. Análises posteriores relacionaram mais endereços e transações ao incidente, levando algumas estimativas para mais de US$ 100 milhões. A Tarreo cita 1.816 BTC e aproximadamente US$ 116 milhões, enquanto outras apurações recentes apontaram valores menores.

O problema estava na criação da carteira

Uma hardware wallet como a Coldcard mantém as chaves necessárias para movimentar Bitcoin separadas de computadores conectados à internet. Isso reduz vários vetores tradicionais de ataque, mas existe uma condição fundamental: a chave precisa ser imprevisível desde o momento em que é criada. O firmware afetado podia ignorar a fonte de aleatoriedade esperada e recorrer a informações previsíveis do hardware, incluindo dados do próprio chip. Isso reduzia a entropia usada na geração da frase-semente, sequência da qual derivam as chaves privadas que controlam os bitcoins.

Em determinadas configurações, portanto, um invasor com capacidade computacional suficiente poderia procurar as combinações possíveis até reconstruir a carteira. Não era necessário instalar malware no computador da vítima, interceptar uma conexão ou roubar fisicamente a Coldcard.

A vulnerabilidade começou a receber atenção depois que centenas de carteiras foram drenadas em rápida sequência em 30 de julho. Uma das primeiras ondas identificadas movimentou aproximadamente 594 BTC de cerca de 500 carteiras.

Atualizar o firmware não corrige uma frase-semente antiga

Esse detalhe torna o problema especialmente importante. Se uma frase-semente foi criada usando um processo vulnerável, simplesmente instalar um firmware corrigido posteriormente não torna essa mesma frase mais aleatória.

A medida de segurança é criar uma nova carteira com uma frase-semente gerada de forma segura e transferir os fundos. A própria investigação sobre o incidente também apontou diferenças de exposição entre gerações da Coldcard e configurações utilizadas pelos proprietários.

O caso não demonstra que carteiras offline deixaram de ser seguras nem revela uma vulnerabilidade no protocolo Bitcoin. Ele expõe outro risco: a autocustódia depende não apenas de manter as chaves desconectadas da internet, mas também da qualidade do software e do hardware usados para criá-las.

Uma carteira guardada durante anos em um cofre pode continuar completamente offline. Se a chave que protege os bitcoins nasceu previsível, porém, o invasor pode não precisar encontrar o cofre, basta encontrar a chave.