Coldcard hack: como uma flag de compilação drenou 116 milhões em bitcoin

Uma única linha de firmware enviada em março de 2021 disse a cada hardware wallet Coldcard para pular seu chip de aleatoriedade dedicado. Por cinco anos ninguém notou. Então um atacante forçou as sementes fracas em 41 minutos, drenando 1.816 BTC de mais de 5.200 endereços em quatro ondas de ataque. O incidente é o maior exploit de hardware wallet na história das criptomoedas, e está forçando todo o modelo de autocustódia de bitcoin a responder uma pergunta que evitou desde o início: quem audita o código que gera suas chaves?

Ninguém foi vítima de phishing. Nenhum dispositivo foi roubado. Nenhuma frase-semente foi escrita em um post-it. A hardware wallet Coldcard, o dispositivo que os maximalistas de bitcoin recomendavam acima de todos os outros para armazenamento a frio, gerou chaves privadas fracas por cinco anos porque um único flag de build disse ao firmware para pular seu chip de aleatoriedade dedicado. Um atacante descobriu como adivinhar as sementes resultantes e, em 30 de julho de 2026, começou a esvaziar carteiras em um ritmo que não deixou tempo para reagir.

“Talvez a parte mais difícil disso seja que eu fiz tudo certo”, escreveu o empresário canadense Jonathan Goodman no X depois de perder 18,25 BTC, no valor de aproximadamente C$ 1,6 milhão, de uma Coldcard guardada em uma caixa de depósito de segurança. Sua postagem foi vista mais de 7,6 milhões de vezes. O sentimento captura o núcleo da crise: as pessoas que perderam dinheiro não foram descuidadas. Elas eram os detentores de bitcoin mais conscientes da segurança no ecossistema e seguiram todas as práticas recomendadas, exceto uma que não poderiam saber. O firmware que gerou suas chaves estava quebrado desde o dia em que foi enviado.

As consequências vão muito além das perdas imediatas. O bitcoin está fluindo de volta para as exchanges pela primeira vez desde o colapso da FTX. Os fabricantes de hardware wallets enfrentam pedidos de auditorias independentes de seu código de geração de sementes. O diretor de pesquisa de ativos digitais da ARK Invest chamou o espaço de hardware de autocustódia de “um desastre”. E o CEO da Coinkite sugeriu que a inteligência artificial encontrou o bug, levantando a questão de saber se todo repositório de firmware de código aberto é agora uma superfície de ataque que a IA pode minerar mais rápido do que revisores humanos podem defender.

O flag de build: como uma linha de código quebrou tudo

A falha técnica é simples o suficiente para explicar em um único parágrafo, o que a torna mais danosa, não menos. O firmware da Coldcard define uma macro chamada MICROPY_HW_ENABLE_RNG e a define como zero porque a Coinkite fornece seu próprio wrapper de gerador de números aleatórios de hardware. Uma biblioteca criptográfica de suporte chamada libngu verificava se a macro existia. Ela não verificava se a macro estava habilitada. Como a macro existia, mas estava definida como zero, a libngu concluiu que a aleatoriedade de hardware não estava disponível e caiu no fallback de software Yasmarang do MicroPython. Esse fallback foi inicializado a partir do número de série exclusivo do chip e dos registradores de timer e não coletou entropia nova após a inicialização.

A consequência foi uma redução catastrófica na força da chave. Uma frase-semente BIP-39 de 12 palavras é projetada para codificar 128 bits de entropia, um número tão grande que forçá-lo exigiria mais energia do que o sol produzirá em sua vida. O fallback Yasmarang, semeado a partir de um número de série do chip e estado do timer, produziu aproximadamente 40 bits de entropia efetiva no Mk3 e cerca de 72 bits no Mk4, Mk5 e Q. A equipe de pesquisa de segurança da Block, que publicou uma análise técnica detalhada, estabeleceu tetos condicionais abaixo de 2^40,7 e 2^73,3 e alertou que o último número não é equivalente à segurança criptográfica de 73 bits.

Quarenta bits de entropia significam aproximadamente um trilhão de sementes possíveis. Esse é um número grande pela intuição humana, mas trivial pelos padrões computacionais. Um cluster moderno de GPUs pode enumerar um trilhão de candidatos em horas. O atacante não precisou de acesso físico a nenhum dispositivo. O atacante não precisou interceptar nenhuma comunicação. O atacante precisou apenas gerar sementes candidatas, derivar seus endereços bitcoin correspondentes e comparar esses endereços com o blockchain público. Cada correspondência era uma carteira que poderia ser esvaziada.

A falha foi lançada na versão de firmware 4.0.1 em março de 2021. Ela persistiu em todos os lançamentos de firmware subsequentes até o patch de emergência em 31 de julho de 2026. Toda semente Coldcard gerada durante essa janela de cinco anos sem a opção manual de rolagem de dados está potencialmente comprometida. A Coinkite estima que a opção de rolagem de dados, onde os usuários rolam fisicamente os dados pelo menos 50 vezes e digitam os resultados, contorna o código quebrado inteiramente. A empresa também afirma que uma frase-senha BIP-39 forte cria uma carteira separada que as palavras-semente sozinhas não conseguem alcançar. Mas, como apontou Nick Neuman, CEO da Casa: "Você simplesmente não pode pedir às pessoas para rolar dados para estarem seguras com sua autocustódia. Isso é inviável para 99% das pessoas."

As quatro ondas: anatomia de uma varredura de US$ 116 milhões

O ataque se desenrolou em ondas distintas, cada uma maior que a anterior, sugerindo ou um único operador refinando sua abordagem ou múltiplos atacantes trabalhando a partir da mesma vulnerabilidade.

A onda um ocorreu em 30 de julho às aproximadamente 2:14 da manhã UTC. O atacante varreu 594 BTC de cerca de 500 endereços em 25 minutos, transmitindo transações a uma taxa uniforme de 30 sat/vB sem saídas de troco. A Galaxy Research observou que nenhuma outra transação bitcoin nos 30 dias anteriores carregava a mesma assinatura de taxa mais sem troco, tornando o operador identificável mesmo que permanecesse anônimo.

A onda dois seguiu dentro de 48 horas, elevando o total acumulado para 1.082 BTC de 1.196 endereços. A construção das transações correspondeu à onda um de perto o suficiente para a Galaxy avaliar com alta confiança que o mesmo operador era responsável.

A onda três trouxe o total confirmado para 1.367 BTC de 4.585 endereços, valendo aproximadamente US$ 89 milhões. A Galaxy alertou que a onda três não deveria ser assumida como envolvendo o mesmo atacante, pois os padrões de transação divergiram das duas primeiras ondas. A TRM Labs identificou independentemente diferenças na construção das transações entre as ondas que sugerem múltiplos operadores.

Uma suspeita quarta onda ocorreu ao longo de 4 de agosto, varrendo aproximadamente 449 BTC de 709 endereços na contagem revisada da Galaxy. Se confirmada, as perdas cumulativas chegam a aproximadamente 2.055 BTC, valendo perto de US$ 130 milhões. A Galaxy relatou cerca de 600 endereços suspeitos controlados pelo atacante a investigadores federais, empresas de conformidade e investigadores de segurança cibernética.

A lavagem tem sido mínima. A TRM Labs descobriu que a maioria dos fundos das vítimas está se acumulando em um pequeno número de endereços controlados pelo atacante com movimento limitado adiante. Em 4 de agosto, a única lavagem confirmada consistia em um único depósito de 64,9 BTC no serviço coinjoin da Wasabi Wallet e 200 ETH depositados no Tornado Cash. Um oportunista postou uma mensagem OP_RETURN no blockchain bitcoin oferecendo-se para lavar os fundos roubados por uma taxa de 7%. A relativa inação sugere que os atacantes ainda não determinaram como mover uma soma grande o suficiente para atrair atenção onde quer que ela vá parar.

A seção que um concorrente não poderia escrever: o que 40 bits de entropia realmente significam

A maior parte da cobertura do hack da Coldcard descreve a redução de entropia como um detalhe técnico. É a história inteira, e a aritmética revela por que o ataque era inevitável em vez de meramente possível.

Uma semente de 128 bits tem 2^128 valores possíveis, um número com 39 dígitos. Forçar essa espaço por força bruta não é uma questão de poder computacional ou paciência. É fisicamente impossível com qualquer tecnologia que obedeça às leis da termodinâmica. É por isso que carteiras de hardware funcionam: a segurança de uma semente gerada corretamente não depende do dispositivo permanecer secreto, do firmware permanecer não comprometido ou do fabricante permanecer confiável. Depende da matemática.

Uma semente de 40 bits tem 2^40 valores possíveis: 1.099.511.627.776. Um trilhão. Uma única GPU NVIDIA H100 pode calcular aproximadamente 10 bilhões de hashes SHA-256 por segundo. Derivar um endereço bitcoin de uma semente candidata requer várias operações criptográficas além de um único hash, mas a ordem de grandeza se mantém. Um trilhão de candidatos pode ser esgotado em minutos ou horas em um cluster de GPUs que custa alguns milhares de dólares para alugar.

Os dispositivos Mk4, Mk5 e Q tinham aproximadamente 72 bits de entropia efetiva. Isso é melhor que 40 bits, mas ainda catastroficamente abaixo de 128 bits. A análise da Block definiu o espaço de busca em aproximadamente quatro bilhões de possibilidades sob certas restrições, um número que roda em hardware comum. A distinção importa: os proprietários do Mk3 enfrentam comprometimento quase certo se seus endereços forem identificados, enquanto os proprietários de modelos posteriores enfrentam uma ameaça probabilística que depende de quanto o atacante sabe sobre o ID único do dispositivo, o tempo de inicialização e chamadas anteriores ao gerador de números aleatórios.

A percepção crítica é que o atacante não precisa saber quais endereços pertencem aos usuários do Coldcard. Todo endereço bitcoin é público. O atacante gera sementes candidatas, deriva endereços e os verifica contra toda a blockchain. Qualquer correspondência é uma carteira Coldcard confirmada com uma semente fraca. O ataque escala linearmente com o poder computacional e não requer inteligência sobre vítimas individuais. A Galaxy Research alertou que “todo dispositivo vulnerável será eventualmente esvaziado” porque o atacante pode percorrer todo o espaço de busca com calma.

Isso é fundamentalmente diferente de um ataque de phishing, um hack de exchange ou um comprometimento da cadeia de suprimentos. Esses ataques exigem atingir vítimas específicas. A exploração do Coldcard ataca a matemática. Toda carteira gerada em firmware afetado é vulnerável, independentemente de quão cuidadosamente o proprietário armazenou o dispositivo, protegeu a frase-semente ou seguiu as melhores práticas de segurança. A única defesa era uma ação que o fabricante nunca disse aos usuários que precisavam tomar: rolar dados físicos.

A reversão da autocustódia: bitcoin flui de volta para as exchanges

A exploração do Coldcard está produzindo uma mudança comportamental que teria sido impensável há 18 meses. O bitcoin está se movendo de carteiras de autocustódia para exchanges centralizadas, revertendo uma tendência que começou quando a FTX entrou em colapso em novembro de 2022 e acelerou ao longo de 2023 e 2024, à medida que as vendas de carteiras de hardware dispararam.

A transferência líquida de bitcoin de carteiras de autocustódia para endereços de exchange tem sido positiva todos os dias desde 31 de julho, de acordo com dados de fluxo on-chain. A OKX relatou entradas recordes nas exchanges nos dias seguintes à exploração. O diretor de conformidade da exchange, Jonathan Brockmeier, disse que o comportamento do cliente mudou “notavelmente” à medida que os usuários moviam ativos para longe da autocustódia.

A reversão do fluxo não se limita a detentores de varejo em pânico. Alocadores institucionais que anteriormente citavam a autocustódia como uma vantagem de gerenciamento de risco estão reavaliando. Os fluxos de ETF de bitcoin atingiram US$ 211,5 milhões em 5 de agosto, liderados pelo IBIT da BlackRock e pelo FBTC da Fidelity, sugerindo que pelo menos parte do capital está rotacionando de participações diretas em bitcoin para veículos regulamentados que eliminam completamente o risco de gerenciamento de semente.

O analista sênior de ETF da Bloomberg, Eric Balchunas, argumentou que os ETFs de bitcoin à vista eliminam o problema de gerenciamento de semente para investidores que querem exposição ao preço sem risco operacional. “Um ETF resolve isso”, escreveu ele. O analista on-chain Willy Woo rebateu, argumentando que a autocustódia continua sendo o único caminho para a propriedade genuinamente soberana de bitcoin e que os veículos ETF introduzem risco de contraparte que a rede bitcoin foi projetada para eliminar.

Os dados contam uma história mais específica do que qualquer um dos lados reconhece. Os endereços que movem bitcoin de volta para as exchanges tendem a ser carteiras de assinatura única mantendo entre 0,5 e 10 BTC, a faixa mais provável de representar detentores individuais que usaram um único Coldcard como seu armazenamento principal. Carteiras multisig e endereços associados a custodiantes institucionais não mostraram movimento comparável. O pânico está concentrado exatamente no perfil de usuário para o qual o Coldcard foi projetado: indivíduos com conhecimento técnico que escolheram a autocustódia em vez de exchanges e confiaram em um único dispositivo de hardware como sua única camada de segurança. A ironia é precisa. Os usuários que mais confiaram no hardware são os mais expostos, enquanto os usuários que distribuíram a confiança entre vários dispositivos e métodos de geração de chave não são afetados.

A tensão é real, mas o enquadramento está incompleto. O hack do Coldcard não expôs uma falha na autocustódia como conceito. Expôs uma falha na implementação da geração de semente de um fabricante. Vincent Bouzon, especialista em cibersegurança da Ledger, fez a distinção explicitamente: “Toda carteira depende, em última análise, de um segredo raiz gerado a partir de entropia de alta qualidade. Essa geração deve ser ancorada em hardware seguro, com uma arquitetura que não possa silenciosamente rebaixar para uma fonte não confiável baseada em software.” Ele chamou as alternativas de piores, descrevendo carteiras de software em hardware não seguro como mais arriscadas e a custódia centralizada em exchange como “não é propriedade, é um IOU.”

A pergunta da IA: um modelo encontrou esse bug?

A resposta da Coinkite ao exploit incluiu uma alegação que dividiu a comunidade de segurança. O CEO Rodolfo Novak, conhecido como NVK, sugeriu que o atacante usou IA para descobrir a falha de firmware, e que a própria revisão de código assistida por IA da Coinkite do mesmo repositório semanas antes não havia encontrado nada.

“Para todos os outros desenvolvedores: acreditamos que esta é uma realidade sóbria do novo paradigma da IA”, escreveu Novak. “A revisão de código assistida por IA agora pode encontrar bugs latentes a uma velocidade que está ultrapassando até mesmo os especialistas mais experientes da indústria.” Ele acrescentou: “Se o seu firmware é de código aberto ou já foi público, assuma que já está sendo lido por atacantes e defensores.”

Pesquisadores de segurança contestaram esse enquadramento. Uma flag de compilação que desativa um gerador de números aleatórios por hardware é um erro de engenharia humana, argumentam eles, e a revisão de código convencional deveria tê-lo pego anos antes de qualquer modelo de linguagem ler o repositório. Andrew Lazutkin, diretor de tecnologia da Tangem, tirou uma conclusão diferente: “Este incidente é um bom exemplo de por que firmware de código aberto não deve ser automaticamente equiparado a melhor segurança.”

A atribuição à IA importa menos do que a questão estrutural que ela levanta. Se o atacante usou IA, análise estática convencional ou revisão manual, o resultado é o mesmo: um bug que ficou à vista por cinco anos em um repositório de código aberto foi encontrado e transformado em arma. Se ferramentas de IA podem sistematicamente escanear repositórios de firmware em busca de falhas de entropia, caminhos de rebaixamento de aleatoriedade e erros de configuração de compilação, então todo fabricante de carteira de hardware com código público enfrenta uma superfície de ataque expandida. A questão não é se a IA esteve envolvida neste ataque específico. A questão é se a IA torna essa classe de ataque reproduzível em escala.

A linha do tempo apoia a preocupação, independentemente do mecanismo. O firmware da Coldcard é código aberto desde o seu início. A macro MICROPY_HW_ENABLE_RNG e sua atribuição zero estavam visíveis em um repositório público do GitHub por cinco anos. Vários pesquisadores de segurança, auditores de firmware e a comunidade mais ampla de desenvolvimento do Bitcoin tiveram acesso ao código durante todo esse período. Nenhum deles pegou a falha. O grupo de pesquisa Coinspect publicou suas descobertas Ill Bloom sobre falhas de PRNG fracas em carteiras de software mais antigas no início de julho de 2026, uma vulnerabilidade separada, mas tematicamente idêntica, que drenou mais de US$ 5 milhões de endereços em Bitcoin, Ethereum, Tron, Rootstock e Polygon. O agrupamento de exploits relacionados à entropia em um único mês sugere pesquisa coordenada ou uma abordagem analítica compartilhada que está trazendo à tona essa classe de bug mais rápido do que historicamente.

O caso contrário em toda a sua força

A narrativa se escreve sozinha: a autocustódia está quebrada, as carteiras de hardware não podem ser confiáveis, mova seu bitcoin para uma exchange ou um ETF. O caso contrário exige examinar o que o hack da Coldcard realmente provou e o que não provou.

Primeiro, isso não foi uma falha da autocustódia. Foi uma falha da engenharia de firmware de uma empresa. O protocolo Bitcoin funcionou exatamente como projetado. A criptografia funcionou exatamente como projetada. A vulnerabilidade existia na configuração de compilação da Coinkite, não no modelo de segurança das carteiras de hardware como categoria. Ledger, Trezor e Block confirmaram que seus dispositivos não são afetados. A lição é que a geração de sementes deve ser verificada de forma independente, não que a geração de sementes seja inerentemente não confiável.

Segundo, a alternativa da exchange carrega seus próprios riscos catastróficos. A FTX perdeu US$ 8 bilhões em fundos de clientes. A Mt. Gox perdeu 850.000 BTC. Celsius, Voyager e BlockFi juntas perderam bilhões a mais. O exploit da Coldcard drenou US$ 116 milhões em 5.200 endereços ao longo de cinco dias. A FTX drenou US$ 8 bilhões de milhões de usuários em uma única noite. A comparação de escala favorece a autocustódia mesmo em seu pior modo de falha.

Terceiro, configurações de múltiplas assinaturas teriam prevenido todos os roubos nesta exploração. Uma carteira multisig requer múltiplas chaves independentes para autorizar uma transação. Se pelo menos uma chave fosse gerada em um dispositivo não-Coldcard, o atacante não poderia ter concluído a varredura. Casa, Unchained e outros provedores de multisig relataram zero perdas de clientes devido à exploração da Coldcard, porque suas arquiteturas distribuem a geração de chaves entre dispositivos projetados de forma independente, de diferentes fabricantes. Uma carteira multisig 2-de-3 usando uma Coldcard, uma Ledger e uma Trezor teria sido imune a este ataque, mesmo se a chave da Coldcard fosse totalmente comprometida, porque o atacante ainda precisaria comprometer independentemente uma das outras duas chaves. O hack da Coldcard é um argumento a favor do multisig, não um argumento contra a autocustódia.

Quarto, a reação do preço do bitcoin mina o enquadramento catastrófico. O bitcoin foi negociado perto de $64.300 durante todas as quatro ondas de ataque e não caiu abaixo de $63.800 desde que a exploração se tornou pública. O mercado está precificando o hack da Coldcard como um evento específico da empresa, não como uma ameaça sistêmica ao modelo de segurança do bitcoin. Se o mercado acreditasse que a autocustódia estava fundamentalmente quebrada, a resposta do preço teria sido severa. Não foi.

O que invalidaria a tese de autocustódia: se vários fabricantes de carteiras de hardware fossem encontrados com a mesma classe de falha de entropia simultaneamente, sugerindo uma falha sistêmica em vez de idiossincrática. Se a superfície de ataque se expandir para incluir dispositivos com geradores de números aleatórios de hardware que passam em todos os testes existentes, mas contêm vieses sutis. Ou se o fardo operacional da gestão de chaves se provar permanentemente além da capacidade dos usuários individuais, tornando a custódia profissional a única opção viável para a maioria dos detentores de bitcoin, independentemente das vantagens teóricas de segurança da autocustódia.

O que observar

• Total final de perdas da Galaxy Research após a confirmação da quarta onda. A diferença entre 1.596 BTC (confirmados) e 2.055 BTC (estimados) representa aproximadamente US$ 30 milhões em perdas não verificadas. Se a quarta onda for confirmada e ondas adicionais se seguirem, o total pode exceder US$ 150 milhões e empurrar o incidente para além do exploit de assinatura cega da Bybit em 2025 em impacto.
• Movimentação on-chain do bitcoin controlado pelo atacante. Aproximadamente 90% dos fundos roubados permanecem imóveis. Quando o atacante começar a lavar, o método escolhido (mixers, pontes cross-chain, mesas OTC) indicará o nível de sofisticação e potencialmente permitirá a atribuição. A TRM Labs está monitorando em tempo real.
• Tendências de fluxo de entrada em exchanges nos próximos 30 dias. A reversão do fluxo pós-Coldcard pode ser uma resposta temporária de pânico ou o início de uma mudança estrutural. Se os fluxos líquidos de volta para as exchanges persistirem além de agosto, isso sugere uma mudança duradoura na forma como os detentores de bitcoin pesam o risco de autocustódia contra o risco de contraparte.
• Adoção de auditorias independentes pelos fabricantes de carteiras de hardware. O CSO da Kraken, Nick Percoco, pediu testes independentes da geração de sementes no firmware de produção. Se Ledger, Trezor e outros fabricantes adotarem auditorias de entropia de terceiros como prática padrão, isso valida a preocupação sistêmica. Se não o fizerem, a indústria está apostando que a mesma classe de bug não aparecerá em outro lugar.
• Resposta regulatória à falha de autocustódia. A SEC e a CFTC não comentaram sobre o exploit da Coldcard. Se os reguladores usarem o incidente para argumentar que a autocustódia é inadequada para investidores de varejo, isso pode acelerar o impulso em direção a estruturas de custódia obrigatórias para ativos digitais.

Perguntas frequentes