Uma vulnerabilidade silenciosa na Coldcard ficou ativa por cinco anos sem ser detectada — e o caso acende um alerta sobre como hardware wallets são auditadas no mercado.
Uma falha de segurança na Coldcard, uma das hardware wallets mais utilizadas por detentores de Bitcoin, permaneceu ativa por cinco anos sem ser identificada em auditorias externas. O caso foi destacado pelo chefe de segurança da exchange Kraken, que apontou o episódio como evidência de uma lacuna sistêmica nos processos de teste desse tipo de dispositivo.
Segundo a Cointelegraph.com News, o problema estava relacionado ao gerador de números aleatórios (RNG) do dispositivo. Auditores verificaram que o componente responsável pela geração de aleatoriedade existia no código — mas ninguém checou se ele estava sendo efetivamente chamado durante a execução. O RNG ficou, na prática, inativo por todo esse período.
A geração de números aleatórios é um dos pilares da criptografia moderna. Em hardware wallets, ela é usada para criar chaves privadas seguras. Um RNG defeituoso ou que simplesmente não opera pode comprometer a imprevisibilidade das chaves geradas, tornando-as potencialmente vulneráveis a ataques de força bruta ou predição.
O que falhou no processo de auditoria?
O ponto central levantado pelo executivo da Kraken é que as auditorias convencionais de firmware tendem a verificar a presença de componentes de segurança, e não o seu funcionamento real. Essa distinção pode parecer sutil, mas tem consequências práticas enormes.
Auditores confirmaram que o gerador de números aleatórios estava presente no código-fonte do firmware da Coldcard.
Ninguém verificou se o RNG era chamado de fato durante a geração de chaves, deixando a entropia do dispositivo comprometida por cinco anos.
Chaves privadas precisam ser imprevisíveis. Um RNG inativo pode gerar chaves previsíveis, vulneráveis a ataques criptográficos.
O caso reforça a necessidade de testes dinâmicos de execução, não apenas revisões estáticas de código em auditorias de segurança.
O problema não é exclusivo da Coldcard
O executivo da Kraken deixou claro que o episódio não é uma crítica isolada à Coldcard, mas um alerta para toda a indústria de hardware wallets. A prática de auditar apenas a existência de componentes de segurança, sem validar sua operação em tempo real, é comum no setor — e pode estar mascarando vulnerabilidades semelhantes em outros dispositivos.
A Coldcard é fabricada pela empresa canadense Coinkite e é amplamente recomendada em comunidades de segurança por seu foco em Bitcoin e em recursos avançados de proteção. O fato de um bug dessa natureza ter passado despercebido por tanto tempo reforça que nenhum dispositivo está isento de falhas — e que a transparência na divulgação é parte fundamental do processo de segurança.
Para usuários que possuem hardware wallets antigas, o episódio reforça a importância de manter o firmware atualizado e acompanhar comunicados oficiais dos fabricantes. Vulnerabilidades corrigidas só protegem quem aplica as atualizações.
📌 Nota editorial
O KriptoHoje não teve acesso ao relatório técnico completo da vulnerabilidade. As informações deste artigo são baseadas na cobertura da Cointelegraph.com News e em declarações públicas do chefe de segurança da Kraken. Recomendamos que usuários de Coldcard consultem diretamente os canais oficiais da Coinkite para detalhes sobre versões afetadas e correções disponíveis.
Se você mantém criptoativos em cold storage, acompanhe os comunicados de segurança dos fabricantes e considere como sua estratégia de custódia se sustenta diante de falhas que podem ficar ocultas por anos. Para entender melhor como declarar e organizar seus ativos, veja também o guia completo de criptomoedas.
Importante: não damos recomendação de investimento
Este conteúdo tem caráter exclusivamente informativo e educacional. O KriptoHoje não é consultor de investimentos e não recomenda a compra, venda ou manutenção de qualquer ativo. Investimento em criptoativos envolve risco elevado de perda total.
Sua hardware wallet veio de uma fonte confiável?
A KriptoBR, integrante do mesmo grupo do KriptoHoje, é a maior e mais antiga revenda oficial de hardware wallets do mundo. Trezor, Ledger, SecuX, Yubico e Key-ID.
Mais de 600 mil clientes atendidos em 32 países. Envio direto do Brasil, garantia do fabricante, suporte técnico em português.
Leituras relacionadas
🛡️ Segurança em criptomoedasBoas práticas para proteger seus ativos digitais, desde a escolha da carteira até a gestão de chaves privadas.
🧮 Como funcionam as chaves privadas?A criptografia por trás da propriedade de Bitcoin: o que são chaves privadas e por que a aleatoriedade importa tanto.
Este conteúdo é de caráter informativo e não constitui recomendação de investimento. Criptomoedas são ativos voláteis; consulte um profissional antes de investir.