Um bug silencioso em firmware distribuído em 2021 transformou seeds de carteiras Coldcard em alvos fáceis. Quatro ondas de ataques depois, mais de 1.800 BTC foram drenados — e a última janela ainda pode ser disputada no mempool.
Uma vulnerabilidade crítica presente em versões de firmware do Coldcard lançadas em 2021 está no centro de uma série de roubos que já ultrapassa US$ 114 milhões em Bitcoin. O problema, que tornava as seeds geradas pelo dispositivo previsíveis, foi explorado em ao menos quatro ondas de ataques distintas, a mais recente delas registrada na última quinta-feira.
Segundo a The Defiant, mais de 1.800 BTC já foram drenados desde o início da série de ataques. O vetor de exploração se baseia no fato de que o gerador de números aleatórios usado naquela versão do firmware produzia sequências de entropia insuficiente — o que, na prática, tornava as chaves privadas deriváveis por agentes com poder computacional adequado.
O Coldcard é uma das hardware wallets mais utilizadas por bitcoinheiros de perfil técnico, justamente por sua reputação de segurança robusta e código aberto. A ironia do caso é que o bug comprometia exatamente o processo de criação da semente — a etapa considerada mais crítica em qualquer carteira de autocustódia. Para entender os fundamentos, confira o guia completo de Bitcoin para iniciantes.
O que acontece em cada onda de ataque
Os atacantes aparentemente identificaram carteiras criadas com as versões vulneráveis do firmware e passaram a varrê-las metodicamente. Cada “onda” corresponde a uma nova rodada de transações de drenagem enviadas à rede Bitcoin, atingindo endereços ainda não esvaziados nas rodadas anteriores.
Firmware distribuído em 2021 gerava seeds com entropia insuficiente, tornando chaves privadas matematicamente previsíveis por atacantes.
Mais de 1.800 BTC — equivalentes a cerca de US$ 114 milhões — já foram transferidos por agentes maliciosos em quatro ondas de ataques.
Transações da quarta onda ainda podem ser “superadas” por vítimas que transmitam uma transação concorrente com taxa maior antes da confirmação.
Apenas carteiras cujas seeds foram geradas nas versões de firmware com o bug estão em risco. Carteiras criadas com firmware atualizado ou seeds externas não são afetadas.
Há chance de recuperar os fundos?
De acordo com a The Defiant, as transações da quarta onda ainda não haviam sido totalmente confirmadas no momento da publicação original. Isso abre uma janela técnica: vítimas que ainda possuam acesso às chaves privadas comprometidas podem tentar transmitir uma transação concorrente com fee mais elevado — técnica conhecida como RBF (Replace-by-Fee) — para redirecionar os fundos a um endereço seguro antes que os mineradores confirmem a transação dos atacantes.
Essa é uma corrida contra o tempo e contra o poder de fogo dos próprios atacantes, que podem elevar suas taxas em resposta. A execução exige conhecimento técnico e ferramentas adequadas — e a chance de sucesso diminui a cada bloco minerado.
O que usuários do Coldcard devem verificar
Se você possui um Coldcard e gerou sua seed entre 2021 e o período de correção do firmware, verifique imediatamente a versão utilizada na criação da carteira — não a versão atual do dispositivo. Caso a seed tenha sido gerada com o firmware vulnerável, a recomendação de especialistas em segurança é migrar os fundos para uma nova carteira criada com firmware auditado e entropia verificada. Consulte os canais oficiais da Coinkite para orientação específica.
📰 Fonte
As informações desta reportagem são baseadas na cobertura original de The Defiant, veículo especializado em finanças descentralizadas e segurança cripto.
Importante: não damos recomendação de investimento
Este conteúdo tem caráter exclusivamente informativo e educacional. O KriptoHoje não é consultor de investimentos e não recomenda a compra, venda ou manutenção de qualquer ativo. Investimento em criptoativos envolve risco elevado de perda total.
Sua hardware wallet veio de uma fonte confiável?
A KriptoBR, integrante do mesmo grupo do KriptoHoje, é a maior e mais antiga revenda oficial de hardware wallets do mundo. Trezor, Ledger, SecuX, Yubico e Key-ID.
Mais de 600 mil clientes atendidos em 32 países. Envio direto do Brasil, garantia do fabricante, suporte técnico em português.
Leituras relacionadas
🌱 Seed phrase: como guardar com segurançaA seed é a chave mestra da sua carteira. Saiba quais erros evitar na hora de gerar e armazenar suas 12 ou 24 palavras.
⛓️ Replace-by-Fee (RBF): o que é e como funcionaEntenda a mecânica do mempool do Bitcoin e como a técnica RBF permite substituir transações ainda não confirmadas.
Este conteúdo é de caráter informativo e não constitui recomendação de investimento. Criptomoedas são ativos voláteis; consulte um profissional antes de investir.