Usuários relatam perdas de US$ 38,5 milhões em Bitcoin em possíveis ataques ligados à Coldcard: entenda o caso
Usuários relatam perdas de US$ 38,5 milhões em Bitcoin em possíveis ataques ligados à Coldcard, uma das carteiras hardware mais respeitadas do ecossistema Bitcoin. O caso, que veio à tona nesta quarta-feira (30), reacendeu o debate sobre segurança em dispositivos de autocustódia e pegou a comunidade cripto de surpresa. A própria fabricante reconheceu que o problema pode estar ligado ao modelo Mk3 do dispositivo, mais especificamente a uma falha no gerador de números aleatórios do aparelho. A informação foi divulgada inicialmente pelo portal Livecoins.
Para investidores brasileiros, que cada vez mais recorrem a carteiras hardware para proteger seus Bitcoins de exchanges e custódia de terceiros, o episódio traz lições importantes. Vamos analisar o que se sabe até agora, o que a Coldcard disse oficialmente e o que você pode fazer para proteger seus satoshis.
O que aconteceu: a possível vulnerabilidade na Coldcard Mk3
A Coldcard é fabricada pela empresa canadense Coinkite e sempre foi considerada uma referência em segurança para os chamados “Bitcoin maximalists”. O dispositivo é focado exclusivamente em Bitcoin e carrega uma reputação construída ao longo de anos de uso sem grandes incidentes.
No entanto, relatos de diversos usuários começaram a surgir apontando perdas significativas de fundos armazenados em carteiras geradas por dispositivos Coldcard do modelo Mk3. A soma total dos prejuízos relatados chega a US$ 38,5 milhões, um valor que, na cotação atual, representa mais de R$ 200 milhões.
A própria empresa reconheceu a possível vulnerabilidade em comunicado. Segundo a Coinkite, o problema estaria restrito ao modelo Mk3 da carteira e teria origem no gerador de números aleatórios (RNG, na sigla em inglês) do dispositivo. Esse componente é fundamental para a criação das chamadas “seeds” (sementes), as sequências de palavras que funcionam como chave mestra de uma carteira Bitcoin.
Se o gerador de números aleatórios apresenta falhas ou produz resultados previsíveis, as chaves privadas geradas a partir dele se tornam vulneráveis. Na prática, isso significa que um atacante com conhecimento da falha poderia, em tese, recalcular as chaves privadas e acessar os fundos dos usuários.
Como funciona o gerador de números aleatórios e por que ele é tão importante
Para entender a gravidade do problema, é preciso saber como uma carteira hardware gera suas chaves. O processo funciona assim:
1. Geração de entropia: o dispositivo utiliza um gerador de números aleatórios para criar uma sequência de bits totalmente imprevisível.
2. Criação da seed: essa entropia é convertida em uma frase de 12 ou 24 palavras (a famosa seed phrase ou frase de recuperação).
3. Derivação de chaves: a partir da seed, o dispositivo deriva as chaves privadas e públicas que controlam os endereços Bitcoin.
4. Assinatura de transações: as chaves privadas ficam armazenadas no chip seguro do dispositivo e são usadas para autorizar movimentações.
Se a etapa 1 apresenta uma falha, ou seja, se os números gerados não são verdadeiramente aleatórios, todo o restante do processo fica comprometido. As chaves resultantes podem ser reproduzidas por terceiros que entendam o padrão da falha.
Vale destacar que bons geradores de números aleatórios combinam fontes de entropia de hardware (como ruído térmico de componentes eletrônicos) com fontes de software. Uma falha em qualquer uma dessas camadas pode reduzir drasticamente a segurança das chaves geradas.
Impacto para o mercado brasileiro e a autocustódia de Bitcoin
O Brasil tem uma comunidade crescente de bitcoiners que adotam a autocustódia como filosofia central. A expressão “not your keys, not your coins” (não são suas chaves, não são suas moedas) ganhou força especialmente após casos como o da FTX e de outras exchanges que quebraram levando os fundos de clientes.
Carteiras hardware como Coldcard, Ledger e Trezor são amplamente recomendadas por educadores e influenciadores cripto no país. A Coldcard, apesar de ser um dispositivo de nicho e com preço mais elevado, é especialmente popular entre bitcoiners mais técnicos.
O caso levanta questões importantes para o investidor brasileiro:
- Regulação e responsabilidade: a Receita Federal exige que contribuintes declarem criptoativos na Declaração de Imposto de Renda. No entanto, em caso de perda por falha de hardware, não há mecanismo claro de ressarcimento ou proteção ao consumidor. O investidor fica desamparado.
- Importação de dispositivos: muitos brasileiros compram carteiras hardware diretamente do exterior. Isso traz riscos adicionais, como adulteração durante o transporte, especialmente quando adquiridas de revendedores não oficiais.
- Concentração de risco: guardar grandes quantias em um único dispositivo, independentemente da marca, representa um risco que pode ser mitigado com diversificação de custódia.
De acordo com dados da Receita Federal, o volume de Bitcoin declarado por pessoas físicas no Brasil cresce a cada ano, o que torna a segurança de dispositivos de armazenamento uma preocupação cada vez mais relevante.
A resposta da Coinkite e os modelos mais recentes
Em seu posicionamento, a Coinkite indicou que a possível vulnerabilidade afeta apenas o modelo Mk3 da Coldcard. A empresa já lançou versões mais recentes do dispositivo, incluindo o Mk4 e o modelo Q (com tela maior e teclado completo), que utilizam geradores de entropia aprimorados e múltiplas fontes de aleatoriedade.
Alguns pontos relevantes do comunicado da empresa:
- O problema estaria ligado especificamente ao chip gerador de números aleatórios presente no Mk3.
- Modelos posteriores (Mk4 e Q) não seriam afetados pela mesma vulnerabilidade.
- A empresa não confirmou oficialmente que todas as perdas relatadas estejam de fato ligadas a essa falha.
Vale lembrar que o Mk3 foi descontinuado há algum tempo, mas muitos usuários ainda utilizam o dispositivo por ele continuar funcional. O problema é que “funcional” não significa necessariamente “seguro”, especialmente quando vulnerabilidades são descobertas após anos de uso.
O que fazer se você usa uma Coldcard Mk3
Se você possui uma Coldcard Mk3, especialistas em segurança recomendam tomar medidas imediatas:
- Migre seus fundos: transfira seus Bitcoins para uma nova carteira gerada em um dispositivo mais recente ou em outra carteira hardware de sua confiança.
- Gere uma nova seed: não basta transferir para outro endereço derivado da mesma seed. É necessário criar uma seed completamente nova em um dispositivo não comprometido.
- Verifique suas transações: revise o histórico de transações de seus endereços para identificar qualquer movimentação não autorizada.
- Não reutilize a seed antiga: mesmo que seus fundos ainda estejam intactos, se a seed foi gerada em um Mk3, considere-a potencialmente comprometida.
- Considere multisig: carteiras com múltiplas assinaturas (multisig) distribuem o risco entre diferentes dispositivos e fabricantes, reduzindo a dependência de um único gerador de entropia.
Para quem está comprando uma carteira hardware pela primeira vez, o conselho é pesquisar modelos atualizados e sempre adquirir diretamente do fabricante ou de revendedores autorizados.
Lições mais amplas para a segurança em Bitcoin
Este episódio reforça princípios que a comunidade Bitcoin frequentemente repete, mas que nem sempre são colocados em prática:
Não confie, verifique. Mesmo dispositivos de fabricantes respeitados podem ter falhas. Sempre que possível, utilize ferramentas para verificar a entropia da sua seed. Algumas carteiras permitem que o próprio usuário adicione entropia manual (como dados de dado ou moedas), o que reduz a dependência exclusiva do hardware.
Diversifique a custódia. Colocar todos os seus Bitcoins em um único dispositivo, seja Coldcard, Ledger ou qualquer outro, é o equivalente a guardar todo o seu dinheiro em um único cofre. Distribua entre dispositivos, utilize multisig e considere até mesmo custódia colaborativa com empresas como a Casa ou Unchained Capital.
Mantenha-se atualizado. Acompanhar as notícias de segurança do ecossistema não é opcional para quem pratica autocustódia. Vulnerabilidades são descobertas periodicamente, e a diferença entre perder ou proteger seus fundos pode estar em agir rapidamente após uma divulgação.
Perguntas frequentes
A Coldcard ainda é uma carteira segura?
Os modelos mais recentes da Coldcard (Mk4 e Q) não foram apontados como vulneráveis neste caso. A falha relatada está associada especificamente ao modelo Mk3, que já foi descontinuado. A Coinkite continua sendo uma fabricante respeitada, mas o episódio reforça a importância de manter dispositivos atualizados e nunca assumir que qualquer hardware é 100% infalível.
Quem pode ser responsabilizado pelas perdas dos usuários?
Essa é uma questão complexa. Em tese, a fabricante poderia ser responsabilizada se ficar comprovado que a falha no gerador de números aleatórios era um defeito de fabricação. No entanto, como se trata de uma empresa canadense e muitos usuários compraram diretamente do exterior, acionar juridicamente pode ser inviável para a maioria dos brasileiros. No Brasil, o Código de Defesa do Consumidor poderia se aplicar caso a compra tenha sido feita por meio de revendedores nacionais.
Como saber se minha carteira está segura?
Verifique o modelo exato da sua carteira hardware. Se for uma Coldcard Mk3, tome as medidas de migração mencionadas acima. Para outros modelos e fabricantes, mantenha o firmware sempre atualizado, acompanhe os canais oficiais de comunicação do fabricante e considere realizar auditorias periódicas dos seus endereços Bitcoin para identificar qualquer movimentação suspeita.
Conclusão
O caso das perdas de US$ 38,5 milhões em Bitcoin possivelmente ligadas à Coldcard Mk3 serve como um alerta para toda a comunidade cripto. A autocustódia é um dos pilares fundamentais do Bitcoin, mas ela exige responsabilidade, atualização constante e uma postura ativa de segurança por parte do investidor.
Nenhum dispositivo, por mais reputado que seja, está imune a falhas. A melhor defesa é a combinação de boas práticas: diversificação de custódia, uso de multisig, verificação independente da entropia e acompanhamento constante das novidades de segurança do setor.
Fique ligado no Btcnizando para acompanhar os desdobramentos deste caso e todas as notícias que importam para quem leva Bitcoin a sério. Siga-nos nas redes sociais e ative as notificações para não perder nenhuma atualização sobre segurança, regulação e mercado cripto no Brasil.
