A Coinkite afirma que um atacante usou IA para encontrar uma falha que sua própria revisão de IA não detectou, expondo 500 carteiras a um bug de geração de semente que reduziu 128 bits de entropia para 40.
Resumo
- Um atacante drenou 594 BTC, aproximadamente US$ 38 milhões, de cerca de 500 carteiras de hardware Coldcard em 25 minutos em 31 de julho, explorando uma falha de geração de semente presente desde março de 2021.
- O bug reduziu a entropia efetiva das sementes Mk3 de 128 bits para aproximadamente 40 bits, tornando as chaves privadas adivinháveis por meio de computação de força bruta em vez de ataque criptográfico.
- A Coinkite, fabricante da Coldcard, acredita que o atacante usou IA para descobrir a falha em seu firmware de código aberto, e afirma que sua própria auditoria de IA do mesmo código semanas antes não encontrou nada.
- Todos os modelos atuais da Coldcard são afetados em algum grau, com sementes Mk4, Q e Mk5 estimadas em aproximadamente 72 bits de entropia em vez de 128, e atualizar o firmware não repara sementes já criadas.
- Block, Trezor e Ledger confirmaram que seus produtos não são afetados, enquanto o incidente levanta questões fundamentais sobre se as carteiras de hardware podem ser confiáveis como a única camada de custódia para participações significativas em bitcoin.
O ataque levou 25 minutos. Às 2h14 UTC de 31 de julho, uma única entidade começou a varrer bitcoin das carteiras de hardware Coldcard. Às 2h39, 594 BTC haviam sido movidos de aproximadamente 500 carteiras para um endereço de consolidação. Os fundos, no valor de cerca de US$ 38 milhões no momento da varredura, não foram roubados por phishing, malware ou acesso físico aos dispositivos. Eles foram roubados porque os dispositivos geravam chaves privadas previsíveis.
A Coinkite, empresa sediada em Toronto que fabrica a Coldcard, publicou um aviso e uma análise técnica em 30 de julho após descobrir a falha. A empresa disse que um erro de compilação em seu firmware fez com que a geração de semente obtivesse aleatoriedade de um fallback de software em vez do gerador de números aleatórios de hardware que o dispositivo foi projetado para usar. O bug estava presente desde a versão 4.0.1 do firmware, lançada em março de 2021. Cada semente gerada em uma Coldcard afetada durante os últimos cinco anos foi mais fraca do que seu proprietário acreditava.
As implicações vão além da perda financeira imediata. A Coldcard tem sido a carteira de hardware de escolha para maximalistas de bitcoin, pesquisadores de segurança e custodiantes institucionais que priorizam segurança air-gapped, de código aberto e somente bitcoin. Se a carteira de hardware mais confiável do bitcoin pôde lançar um bug de entropia de cinco anos sem detecção, a questão não é se a Coldcard falhou. A questão é se qualquer carteira de hardware pode ser confiável como um ponto único de segurança de custódia.
O mecanismo: como 128 bits se tornaram 40
A explicação técnica é simples e alarmante. O firmware da Coldcard chama uma função para obter aleatoriedade durante a geração de semente. Duas implementações dessa função existiam no código com assinaturas idênticas: o gerador de números aleatórios de hardware que a Coinkite escreveu e um fallback de software herdado do MicroPython, o runtime Python embarcado no qual o firmware é construído.
Um guard de pré-processador deveria selecionar a implementação de hardware. Mas o guard verificava apenas se uma configuração estava definida, não se seu valor estava correto. Quando o firmware foi compilado, o sistema de build resolveu a ambiguidade selecionando o fallback de software. A compilação foi concluída sem avisos. O firmware resultante gerava sementes que pareciam normais, produziam endereços bitcoin válidos e aceitavam depósitos sem qualquer indicação de que a entropia subjacente era catastroficamente fraca.
No Mk3, a Coinkite estima o espaço de busca efetivo para uma semente gerada sob essa condição em aproximadamente 40 bits. Uma semente de 128 bits tem mais combinações possíveis do que átomos no universo observável. Uma semente de 40 bits tem aproximadamente um trilhão de combinações. Isso está ao alcance de um atacante moderadamente equipado usando hardware comum. A diferença não é um erro de arredondamento. É a diferença entre uma fechadura que não pode ser arrombada e uma fechadura que pode ser chutada.
Os modelos Mk4, Q e Mk5 incluem elementos seguros adicionais que misturam sua própria entropia no processo de geração de semente. A Coinkite estima que esses modelos produzem sementes com aproximadamente 72 bits de entropia efetiva sob o bug. Isso é materialmente melhor que 40 bits, mas ainda muito abaixo do alvo de 128 bits. Um espaço de chave de 72 bits não é praticamente quebrável por força bruta com hardware de consumo atual, mas está ao alcance teórico de um adversário bem financiado com acesso a recursos computacionais especializados.
O detalhe mais crítico no aviso da Coinkite é uma única frase: “Atualizar o firmware não altera ou repara uma semente existente.” Todo proprietário de Coldcard que gerou uma semente em firmware afetado deve criar uma nova semente em hardware corrigido e migrar seus fundos. Não há correção de software para uma chave privada fraca. A chave em si deve ser substituída.
A dimensão da IA
O advisory da Coinkite introduziu uma alegação que atraiu escrutínio imediato da comunidade de segurança. A empresa disse que acredita que "alguém usou IA para revisar versões anteriores do nosso firmware" para descobrir o bug. Acrescentou que havia executado "um dos melhores modelos disponíveis" sobre o mesmo código semanas antes do ataque, e o modelo "não encontrou este bug nem nada sério."
A alegação é plausível, mas não verificada. O firmware do Coldcard é código aberto e publicamente disponível no GitHub. Qualquer pessoa ou sistema automatizado pode revisá-lo. A classe específica de bug, uma guarda de pré-processador que verifica definição em vez de valor, é o tipo de erro sutil de caminho de código que os grandes modelos de linguagem mostraram capacidade variada de detectar, dependendo do contexto, da engenharia de prompt e do modelo usado.
A assimetria descrita pela Coinkite é real, mesmo que sua atribuição específica seja especulativa. Atacantes e defensores têm acesso às mesmas ferramentas de IA. Mas os atacantes têm uma vantagem estrutural: eles precisam encontrar uma falha explorável, enquanto os defensores precisam encontrar todas elas. Uma IA que revisa o código e não relata nada sério fornece confiança falsa. Uma IA que revisa o código e encontra um único caminho explorável fornece ao atacante tudo o que é necessário.
O incidente também levanta questões sobre o processo de auditoria de segurança para carteiras de hardware de forma mais ampla. A Coldcard tem sido elogiada por sua abordagem de código aberto, que permite que qualquer pessoa inspecione o firmware. Mas a visibilidade do código aberto só é tão valiosa quanto a qualidade das inspeções realizadas. Se a própria revisão de IA do fabricante, presumivelmente conduzida com contexto completo sobre a arquitetura e intenção do código, não detectou o bug, a vantagem do código aberto torna-se teórica, não prática.
A comunidade de pesquisa em segurança debateu a alegação de atribuição à IA com ceticismo. Vários pesquisadores notaram nas redes sociais que a classe específica de bug, uma guarda de pré-processador que verifica definição versus valor, é bem documentada na literatura de sistemas embarcados e poderia ter sido encontrada por meio de revisão de código convencional. O enquadramento da IA, argumentaram, corre o risco de obscurecer uma falha mais fundamental: que a Coinkite não tinha processos de revisão humana suficientes para um caminho de código crítico que não mudava há cinco anos. Se a IA encontrou o bug ou um pesquisador humano o encontrou, o problema subjacente é o mesmo. O código era público, o bug era sutil, mas não novo, e ninguém do lado defensor o detectou.
A Block publicou uma análise técnica independente em 31 de julho confirmando que nenhum de seus produtos, incluindo o Bitkey, é afetado. O líder de hardware da Block, Max Guise, instou qualquer pessoa com um Coldcard afetado a "mover fundos assim que puderem com segurança." A Trezor confirmou que seus dispositivos usam uma abordagem diferente de geração de entropia e não são vulneráveis. A Ledger não publicou uma resposta formal, mas sua arquitetura de Secure Element usa um gerador de números aleatórios de hardware dedicado que opera independentemente do firmware.
A janela de cinco anos
A linha do tempo da vulnerabilidade é tão prejudicial quanto a própria vulnerabilidade. A versão 4.0.1 do firmware, que introduziu o bug, foi lançada em março de 2021. Cada seed gerada em um Coldcard afetado entre março de 2021 e os lançamentos de firmware corrigidos em 31 de julho de 2026 está potencialmente comprometida. Isso é cinco anos e quatro meses de geração de seeds afetadas.
Durante essa janela, a Coldcard enviou o Mk3 (afetado em 40 bits), o Mk4 (afetado em 72 bits) e o Q (afetado em 72 bits). O Mk5, lançado em 2026, também é afetado em 72 bits. A Coinkite lançou várias atualizações de firmware durante esse período, nenhuma das quais abordou ou detectou o problema de entropia. As próprias revisões de segurança da empresa, incluindo a auditoria recente de IA, não o detectaram.
A janela de cinco anos também coincidiu com um período de valorização significativa do preço do bitcoin. Seeds geradas em dispositivos Mk3 afetados em 2021, quando o bitcoin era negociado entre US$ 29.000 e US$ 69.000, agora protegem participações a preços acima de US$ 60.000. O incentivo econômico para um atacante investir recursos computacionais em força bruta de chaves de 40 bits aumentou a cada alta de preço. Uma carteira contendo 1 BTC que valia US$ 30.000 quando a seed foi gerada agora vale o dobro. O retorno sobre o investimento do atacante melhorou simplesmente esperando.
O número de carteiras afetadas é difícil de estimar com precisão. A Coinkite não publica números de vendas. As 500 carteiras drenadas no ataque inicial representam o subconjunto mais exposto, provavelmente usuários do Mk3 com a entropia mais fraca de 40 bits que mantinham saldos grandes o suficiente para justificar o investimento computacional do atacante. O número total de carteiras com seeds comprometidas em todos os modelos afetados pode ser significativamente maior.
O padrão de consolidação do atacante sugere preparação sistemática. Os 594 BTC foram varridos de aproximadamente 500 carteiras para um endereço de consolidação e depois movidos para um único endereço contendo 562 BTC. A janela de execução de 25 minutos e o número de carteiras alvo simultaneamente indicam que o atacante havia pré-computado as chaves vulneráveis antes de iniciar a varredura. Isso não foi um ataque oportunista. Foi uma operação que exigiu semanas ou meses de preparação.
A análise on-chain da varredura mostra uma sequência de execução metódica. O atacante não transmitiu todas as 500 transações simultaneamente, o que teria arriscado congestionamento do mempool e possível front running por bots estilo MEV monitorando padrões de transação incomuns. Em vez disso, as transações foram agrupadas em lotes, cada lote confirmando dentro de um ou dois blocos. O endereço de consolidação recebeu fundos em vários blocos antes que uma transação final movesse 562 BTC para o que parece ser um endereço de manutenção de longo prazo. Até o momento desta escrita, os fundos não foram movidos além disso.
O problema da migração
A orientação de remediação da Coinkite pede que os usuários afetados realizem uma migração de carteira: gerar uma nova semente no firmware corrigido, verificar o backup, enviar uma transação de teste e depois mover os fundos restantes. O processo é simples para usuários com uma única carteira e saldos moderados. É significativamente mais complexo para usuários com configurações multisig, transações com bloqueio de tempo ou carteiras que servem como uma chave em um acordo de custódia maior.
A migração também cria seus próprios riscos de segurança. Mover fundos de uma carteira comprometida para uma nova carteira exige que a carteira comprometida assine uma transação. Se o atacante já computou a chave privada, o atacante pode fazer front running da migração monitorando o blockchain para qualquer transação do endereço comprometido e imediatamente varrer os fundos restantes. Usuários com saldos significativos enfrentam uma condição de corrida entre sua própria migração e a varredura do atacante.
Para usuários que mantêm bitcoin em acordos multisig onde um Coldcard serviu como um dos múltiplos dispositivos de assinatura, a migração é mais complexa, mas o risco é parcialmente mitigado. Uma carteira multisig 2 de 3 onde apenas uma chave foi gerada em um Coldcard afetado permanece segura enquanto o atacante não puder comprometer uma segunda chave. No entanto, a chave comprometida ainda enfraquece o modelo de segurança geral e deve ser substituída. O processo requer coordenar com todos os detentores de chave para construir uma nova carteira multisig com uma chave substituta, assinar uma transação de migração com o quórum existente e verificar o novo arranjo antes de mover os fundos restantes.
A Coinkite abordou um caso extremo que fornece alívio parcial. Usuários que adicionaram pelo menos 50 lançamentos de dados independentes durante a geração da semente contribuíram com entropia externa suficiente para elevar o total acima de 128 bits, independentemente do bug do firmware. A entrada dos dados foi misturada com a aleatoriedade gerada pelo dispositivo, então a forte entropia dos dados compensou a fraca entropia do dispositivo. Usuários que adicionaram 99 ou mais lançamentos contribuíram com aproximadamente 256 bits apenas dos dados.
A exceção dos dados destaca uma ironia. Os usuários mais propensos a ter adicionado lançamentos extensivos de dados durante a geração da semente são os usuários mais conscientes com segurança, precisamente o grupo demográfico que escolheu Coldcard especificamente por sua reputação de práticas de segurança superiores. Para esses usuários, sua própria paranoia sobre a qualidade da entropia pode ter inadvertidamente os protegido da falha do fabricante em fornecê-la.
O que isso significa para a segurança das carteiras de hardware
O incidente do Coldcard não é o primeiro comprometimento de carteira de hardware. A Ledger enfrentou uma violação de banco de dados em 2020 que expôs informações de clientes. A Trezor divulgou uma vulnerabilidade de extração física em 2023. Mas esses incidentes envolveram exposição de metadados ou requisitos de acesso físico. O bug do Coldcard é diferente porque mina a promessa fundamental de segurança do dispositivo: que ele gera chaves privadas verdadeiramente aleatórias.
O momento agrava o dano. O incidente chega quando o bitcoin negocia perto de máximas históricas, e a adoção institucional de soluções de autocustódia acelerou. Empresas e family offices que selecionaram o Coldcard especificamente por sua reputação de segurança agora enfrentam uma decisão operacional urgente: migrar fundos em chaves potencialmente comprometidas enquanto correm contra um atacante que pode já ter computado essas chaves.
O incidente desafia várias suposições que a comunidade bitcoin tratou como fundamentais. A suposição de que firmware de código aberto é inerentemente mais seguro que firmware proprietário porque pode ser auditado. A suposição de que geradores de números aleatórios de hardware em dispositivos bitcoin dedicados são mais confiáveis que alternativas de software. A suposição de que um dispositivo focado exclusivamente em bitcoin, em vez de suportar múltiplas criptomoedas, terá uma base de código mais simples e, portanto, mais auditável.
Nenhuma dessas suposições está errada em princípio. Elas estão erradas apenas como absolutas. O firmware de código aberto pode ser auditado, mas não foi auditado de forma eficaz. Os geradores de números aleatórios de hardware são mais confiáveis, mas apenas quando o sistema de build realmente os vincula. Um código-fonte somente bitcoin é mais simples, mas a simplicidade não impediu que um bug de cinco anos passasse despercebido.
A lição prática é que as carteiras de hardware não devem ser tratadas como a única camada de custódia para participações significativas em bitcoin. Arranjos de múltiplas assinaturas que distribuem chaves entre vários dispositivos de diferentes fabricantes, combinados com fontes de entropia geradas independentemente, fornecem defesa em profundidade que nenhum dispositivo único pode igualar. O incidente da Coldcard demonstra que até o dispositivo mais confiável pode falhar de maneiras invisíveis para o usuário até que os fundos desapareçam.
A questão mais ampla é se os processos de revisão de segurança da indústria de carteiras de hardware são adequados para os ativos que protegem. Uma perda de US$ 38 milhões devido a um único bug de firmware sugere que não são. O modelo de autocustódia que os defensores do bitcoin promovem exige ferramentas de custódia que atendam a um padrão de confiabilidade comparável à infraestrutura bancária que procuram substituir. Após a Coldcard, esse padrão não foi atendido.
O que observar
- **O movimento do atacante da consolidação de 562 BTC.** Se os fundos são misturados, enviados para exchanges ou mantidos no lugar fornecerá informações sobre a sofisticação e jurisdição do atacante. As empresas de análise de cadeia já estão monitorando o endereço.
- **Carteiras afetadas adicionais além das 500 iniciais.** O atacante pode ter calculado chaves para carteiras adicionais, mas optou por não varrê-las simultaneamente. A exposição total em todos os modelos Coldcard afetados pode ser significativamente maior do que os US$ 38 milhões iniciais.
- **O ritmo da migração de usuários.** A Coinkite não pode forçar os usuários a gerar novas sementes. O número de carteiras que permanecem em sementes comprometidas após 30, 60 e 90 dias indicará quão eficazmente o aviso alcançou a base de usuários afetada.
- **Resposta regulatória.** Uma perda de US$ 38 milhões causada por um bug de firmware do fabricante em um produto financeiro de consumo desencadearia ação regulatória nas finanças tradicionais. Se as agências de proteção ao consumidor ou reguladores financeiros responderem a este incidente sinalizará como os governos classificam as carteiras de hardware.
- **Divulgações de segurança de fabricantes concorrentes.** Block, Trezor e Ledger confirmaram que não são afetados. Se eles publicarem análises técnicas detalhadas de seus próprios processos de geração de entropia indicará se a indústria trata isso como uma falha específica da Coldcard ou uma oportunidade de revisão sistêmica.
Perguntas frequentes
Quanto bitcoin foi roubado no exploit da Coldcard?
Aproximadamente 594 BTC, no valor de cerca de US$ 38 milhões, foram drenados de cerca de 500 carteiras de hardware Coldcard em 25 minutos em 31 de julho de 2026. Os fundos foram consolidados em um único endereço contendo 562 BTC.
O que causou a vulnerabilidade da Coldcard?
Um erro de build no firmware da Coldcard fez com que a geração de sementes usasse um fallback de números aleatórios de software do MicroPython em vez do gerador de números aleatórios de hardware. Uma guarda de pré-processador verificava apenas se uma configuração estava definida, não seu valor, então o build vinculou a implementação errada sem aviso.
Quão fracas eram as sementes afetadas?
As sementes Mk3 tinham aproximadamente 40 bits de entropia efetiva em vez dos 128 bits pretendidos. As sementes Mk4, Q e Mk5 tinham aproximadamente 72 bits devido à entropia adicional de seus elementos seguros. Um espaço de chave de 40 bits é forçável por força bruta com hardware comum.
Atualizar o firmware corrige o problema?
Não. Atualizar o firmware corrige a geração futura de sementes, mas não repara uma semente já criada no firmware afetado. Os usuários devem gerar uma nova semente em hardware corrigido e migrar todos os fundos para a nova carteira.
Quais modelos Coldcard são afetados?
Todos os modelos atuais são afetados em algum grau. O Mk3 é o mais severamente afetado com 40 bits de entropia. O Mk4, Mk5 e Q são afetados com aproximadamente 72 bits. Tapsigner, Opendime e Satscard usam código diferente e não são afetados.
Outras carteiras de hardware são afetadas?
Block, Trezor e Ledger confirmaram que seus produtos não são afetados. A Block publicou uma análise técnica independente. A Trezor disse que seus dispositivos usam uma abordagem diferente de geração de entropia. A vulnerabilidade é específica do processo de construção do firmware da Coldcard.
A Coinkite sabia do bug antes do ataque?
A Coinkite diz que descobriu a falha e publicou um aviso em 30 de julho, depois que o bug foi relatado. A empresa afirma que realizou uma revisão de IA do seu firmware semanas antes do ataque e a revisão não encontrou o problema. O bug estava presente desde março de 2021.
O que os proprietários de Coldcard devem fazer agora?
Atualize para o firmware mais recente do seu modelo. Gere uma nova semente no dispositivo corrigido. Verifique o backup e um endereço de recebimento. Envie uma transação de teste. Mova os fundos restantes. Usuários que adicionaram pelo menos 50 lançamentos de dados independentes durante a geração da semente original podem não precisar migrar, mas a Coinkite recomenda migrar de qualquer forma.
