Usuários que adotavam dispositivos air-gapped, placas de aço para seed phrases e cofres bancários relatam ter perdido suas economias de vida inteira para atacantes que exploraram uma falha na carteira Coldcard.
Fazer tudo certo não foi suficiente. Essa é a amarga conclusão de um grupo de detentores de Bitcoin que adotou as melhores práticas de autocustódia disponíveis no mercado — e ainda assim viu seus fundos serem drenados em questão de minutos. O exploit que afetou usuários do Coldcard, uma das hardware wallets mais respeitadas do setor, colocou em xeque conceitos fundamentais de segurança que a comunidade cripto prega há anos.
Segundo o portal The Defiant, os atacantes exploraram uma vulnerabilidade no firmware do Coldcard para esvaziar carteiras de dezenas de vítimas. O montante total roubado já ultrapassa US$ 114 milhões, tornando o caso um dos maiores incidentes já registrados contra usuários de carteiras físicas.
Os relatos são chocantes pela semelhança: vítimas que mantinham dispositivos completamente desconectados da internet (air-gapped), armazenavam suas seed phrases em placas de aço inoxidável e guardavam cópias de segurança em cofres de bancos descreveram assistir, impotentes, ao esvaziamento de endereços que acumularam por anos. Nenhuma senha errada. Nenhum clique suspeito. Nenhum erro óbvio.
Dispositivos air-gapped, seed phrases em placas de aço e backups em cofres bancários — práticas consideradas padrão ouro de segurança na comunidade Bitcoin.
Mais de US$ 114 milhões foram retirados das carteiras afetadas, segundo o The Defiant, tornando o caso um dos maiores contra usuários de hardware wallets.
A falha que abalou a confiança na autocustódia
O Coldcard é fabricado pela empresa canadense Coinkite e historicamente é posicionado para usuários avançados que priorizam segurança acima de tudo. O dispositivo suporta operações completamente offline, com transações assinadas via cartão microSD — o que teoricamente elimina o vetor de ataque mais comum: a conexão à internet.
Ainda assim, a vulnerabilidade explorada pelos atacantes contornou essas proteções. Detalhes técnicos completos sobre o vetor exato do ataque ainda estão sendo investigados, mas os prejuízos já são concretos e documentados. Segundo o The Defiant, as vítimas relatam que as transações fraudulentas foram assinadas de forma válida — o que sugere comprometimento no nível do próprio processo de assinatura do dispositivo.
“Fiz tudo certo” — e ainda assim perdi tudo
Esse é o relato recorrente entre as vítimas ouvidas pelo The Defiant. Para a comunidade cripto, o caso levanta uma questão difícil: se até usuários experientes, com hardwares dedicados e práticas rigorosas, estão vulneráveis, quais são os limites reais da autocustódia hoje?
O que os usuários podem fazer agora
Diante do cenário, especialistas em segurança recomendam que usuários do Coldcard monitorem os canais oficiais da Coinkite em busca de atualizações de firmware e orientações específicas. Manter o firmware sempre atualizado é uma das medidas básicas — mas, paradoxalmente, a instalação de atualizações em dispositivos air-gapped exige atenção redobrada para não introduzir novos vetores de risco.
O episódio também reforça a importância de diversificar o armazenamento entre diferentes modelos e fabricantes de hardware wallets, evitando concentrar todos os ativos em um único tipo de dispositivo. A premissa de que nenhum sistema é inviolável se aplica também ao hardware.
Leia também: como a inteligência artificial está tornando golpes cripto quase perfeitos — um panorama atualizado sobre os principais vetores de ataque contra detentores de criptomoedas.
📰 Nota editorial
As informações desta reportagem são baseadas na cobertura original do portal The Defiant, publicada em julho de 2025. O KriptoHoje acompanha o caso e atualizará a cobertura conforme novos detalhes técnicos forem divulgados pela Coinkite ou por pesquisadores independentes.
Importante: não damos recomendação de investimento
Este conteúdo tem caráter exclusivamente informativo e educacional. O KriptoHoje não é consultor de investimentos e não recomenda a compra, venda ou manutenção de qualquer ativo. Investimento em criptoativos envolve risco elevado de perda total.
Sua hardware wallet veio de uma fonte confiável?
A KriptoBR, integrante do mesmo grupo do KriptoHoje, é a maior e mais antiga revenda oficial de hardware wallets do mundo. Trezor, Ledger, SecuX, Yubico e Key-ID.
Mais de 600 mil clientes atendidos em 32 países. Envio direto do Brasil, garantia do fabricante, suporte técnico em português.
Leituras relacionadas
🛡️ Autocustódia: riscos e boas práticasGuardar seus próprios ativos exige responsabilidade. Saiba quais medidas realmente protegem seu Bitcoin.
⚠️ Os maiores hacks de cripto da históriaUma linha do tempo dos incidentes mais graves do mercado cripto e o que cada um ensinou sobre segurança digital.
Este conteúdo é de caráter informativo e não constitui recomendação de investimento. Criptomoedas são ativos voláteis; consulte um profissional antes de investir.