Ataque a carteiras Coldcard desvia mais de US$ 100 milhões em bitcoin e acende alerta

Mais de US$ 100 milhões em bitcoin foram roubados de carteiras Coldcard, que são dispositivos físicos projetados para armazenar criptomoedas de forma segura e offline. A empresa Coinkite, fabricante das carteiras, emitiu um alerta sobre uma falha de software que permitiu a hackers reconstruírem as chaves de acesso dos usuários. A informação veio à tona no dia 4 de agosto de 2026, quando a Coinkite e a empresa de inteligência blockchain Galaxy Research detalharam a extensão do ciberataque.

O funcionamento das carteiras Coldcard e sua proposta de segurança

As carteiras Coldcard são conhecidas como “hardware wallets”, projetadas para guardar o bitcoin de usuários a longo prazo, mantendo as chaves de segurança desconectadas da internet. Diferentemente das carteiras digitais online, que estão sempre expostas a riscos da rede, a Coldcard armazena as chamadas “seed phrases” (frases-semente) dentro de um dispositivo físico. Essas frases são sequências de palavras aleatórias que atuam como uma chave mestra, autorizando transações e comprovando a posse dos bitcoins. O método, chamado de “cold storage”, era amplamente elogiado por especialistas em segurança como uma das formas mais robustas de proteger criptoativos.

A falha técnica que expôs milhões em bitcoins

A Coinkite revelou, no dia 30 de julho de 2026, uma vulnerabilidade crítica em seu software que permitiu aos invasores reconstruir as frases-semente das carteiras. A falha, que existia desde março de 2021, fez com que o firmware afetado gerasse as chaves de forma pseudo-aleatória e determinística, em vez de usar um gerador de números aleatórios verdadeiramente seguro, baseado em hardware. Essa discrepância técnica significava que as sequências de palavras não eram tão aleatórias e imprevisíveis quanto deveriam ser, tornando-as suscetíveis a ataques de força bruta ou engenharia reversa por algoritmos sofisticados. Com isso, os hackers conseguiram acessar os bitcoins dos usuários sem a necessidade de ter acesso físico aos dispositivos.

A análise da Galaxy Research apontou três ondas confirmadas de ataques, além de incidentes menores, que culminaram no desvio de 1.596 bitcoins de cerca de 7.300 endereços diferentes. Caso uma quarta onda seja verificada, o total de perdas pode saltar para 2.055 bitcoins, equivalendo a aproximadamente US$ 130 milhões no mercado atual. A identidade dos responsáveis pelo ataque ainda é desconhecida, o que dificulta significativamente a investigação e a eventual recuperação dos valores subtraídos. O impacto financeiro para milhares de investidores é considerável.

A influência da inteligência artificial nos ciberataques atuais

Rodolfo Novak, co-fundador e CEO da Coinkite, chamou a atenção para a nova realidade dos ciberataques, atribuindo parte da responsabilidade à inteligência artificial. De acordo com Novak, ferramentas de revisão de código assistidas por IA possuem uma capacidade inédita de identificar bugs latentes e vulnerabilidades profundas em um ritmo que supera até mesmo os especialistas mais experientes do setor de segurança digital. Este desenvolvimento sugere uma mudança de paradigma na cibersegurança, onde os defensores precisam se adaptar rapidamente às novas capacidades dos atacantes.

Novak lançou um alerta crucial para outros desenvolvedores de software, enfatizando a necessidade de vigilância: “Se seu firmware é de código aberto ou já foi público, assuma que ele já está sendo lido por atacantes e defensores.” Este cenário aponta para uma escalada na corrida armamentista cibernética, onde a IA se torna uma ferramenta poderosa e cada vez mais sofisticada, utilizada tanto para identificar falhas defensivas quanto para orquestrar ataques em larga escala. A indústria precisa reavaliar suas estratégias de segurança diante deste avanço tecnológico.

Recomendações urgentes para usuários da Coldcard

Usuários que geraram uma frase-semente usando uma carteira Coldcard estão sob risco potencial. A Coinkite aconselhou, na data do alerta, que todos os clientes instalassem a atualização mais recente do firmware para seus dispositivos. Contudo, é fundamental compreender que essa nova versão protege apenas as carteiras criadas após a correção. As frases-semente já geradas em dispositivos vulneráveis permanecem em risco e devem ser substituídas.

Aqui estão os passos recomendados:

• Migre seus fundos imediatamente para um endereço seguro em outra custodiante/corretora ou para uma nova carteira com uma nova frase-semente.
• Não gere uma nova frase-semente em modelos afetados antes de instalar a atualização de firmware.
• Evite descartar o dispositivo Coldcard afetado, pois ele pode ser essencial para futuras tentativas de recuperação dos fundos.
• Fique atento a novas informações da Coinkite, que prometeu divulgar uma revisão técnica formal da falha.

A complexidade da recuperação e o futuro da segurança em criptomoedas

A investigação sobre o roubo está em andamento, e detalhes cruciais como os endereços dos atacantes e das vítimas foram prontamente compartilhados com agências de aplicação da lei nos Estados Unidos, grandes corretoras de criptomoedas e grupos especializados em ciberinvestigação. Surpreendentemente, 90% do bitcoin roubado ainda não foi movimentado, permanecendo nas carteiras para as quais foi enviado após o desvio inicial. Essa inatividade sugere que os hackers podem estar esperando o momento ideal para mover os fundos, o que dificulta ainda mais a interceptação e a recuperação.

O CEO da empresa de cibersegurança FailSafe, Aneirin Flynn, enfatizou que o incidente “expõe a falácia de que sua cripto está offline”, desmistificando a percepção de segurança inabalável do “cold storage”. Ele explicou que o dispositivo é apenas responsável por gerar as senhas, e se a matemática subjacente ao processo de geração estiver comprometida, as senhas podem ser revertidas, independentemente de estarem offline. Brent Arnold, um renomado advogado especialista em cibersegurança, observou que a solução para esse problema “não é fácil nem intuitiva”, e muitos usuários podem não ter conhecimento do risco até que seja tarde demais, ressaltando a urgente necessidade de educação e ação proativa por parte dos detentores de criptomoedas para proteger seus ativos digitais neste ambiente em constante evolução. O caso Coldcard, assim, torna-se um marco para a reflexão sobre a resiliência dos sistemas de segurança em blockchain.