19 de ago de 2026

Falha de Segurança da Coldcard: Como uma Falha de Aleatoriedade em uma Hardware Wallet Levou a um Roubo Massivo de Bitcoin

Coldcard, uma hardware wallet construída para usuários dedicados de Bitcoin, suporta apenas Bitcoin, opera offline, depende de código aberto e é montada no Canadá. No entanto, a partir de março de 2021, certas unidades da Coldcard produziram chaves privadas para clientes baseando-se no número de série do dispositivo e em seu relógio interno, em vez do chip especializado destinado a gerar números aleatórios. Isso tornou essas chaves consideravelmente mais simples de prever.

Em 30 de julho, um hacker levou 594 Bitcoin de aproximadamente 500 carteiras inativas em um intervalo de 25 minutos. A Galaxy Research conectou o roubo mais amplo a 1.082 Bitcoin espalhados por 1.196 endereços. Em 2 de agosto, o número subiu para quase 1.367 Bitcoin, avaliados em cerca de $88.6 milhões.

O invasor não precisou de acesso físico às carteiras. O código-fonte da Coldcard é de acesso aberto, assim como os dados na blockchain do Bitcoin. O invasor aparentemente investiu várias semanas descobrindo as chaves potenciais que o software defeituoso poderia ter gerado. Essas chaves poderiam então ser comparadas com endereços Bitcoin contendo fundos. Após identificar as carteiras expostas, o invasor moveu o Bitcoin. O roubo real durou apenas 25 minutos.