Ataque à Coldcard: Roubo de $116M em Bitcoin por Falha de RNG

Uma carteira de hardware deve ser a parte chata e confiável de possuir Bitcoin. Conecte-a, gere uma semente, mantenha a semente offline, durma bem. Essa premissa sofreu um golpe direto neste verão quando a Coinkite, fabricante da popular carteira Coldcard, confirmou que um bug de firmware que remonta a março de 2021 tornou silenciosamente milhares de chaves privadas adivinháveis. Os atacantes drenaram aproximadamente 1,816 BTC, valendo cerca de $116 million na época, de mais de 5,200 endereços em quatro ondas separadas entre 30 de julho e 4 de agosto de 2026. Até meados de setembro, o incidente ainda era classificado como a maior exploração de carteira de hardware já registrada, de acordo com a empresa de análise de blockchain TRM Labs.

O hack da Coldcard ocorre em um ano já repleto de perdas de cripto de nove dígitos, mas se destaca da habitual exploração de ponte DeFi ou violação de exchange. Ninguém roubou uma senha. Ninguém fez phishing de uma chave privada. As carteiras fizeram exatamente o que os compradores foram informados que fariam: gerar uma frase semente offline, em um dispositivo dedicado, longe de qualquer rede. A semente simplesmente nunca foi tão aleatória quanto a Coinkite afirmava. Essa distinção é o motivo pelo qual pesquisadores de segurança, defensores da autocustódia e agora fabricantes de carteiras concorrentes estão tratando isso como um tipo diferente de aviso do que uma manchete de hack típica.