Coldcard Hack: US$ 130 milhões roubados, mais de 7.700 carteiras drenadas — análise completa

O invasor não precisou de acesso físico, e-mails de phishing ou malware. Ao fazer engenharia reversa da saída de entropia enfraquecida, eles conseguiram reconstruir remotamente as frases-semente de 12 ou 24 palavras das vítimas e drenar carteiras que nunca haviam sido conectadas à internet .

O CEO da Coldcard, Rodolfo Novak, confirmou o problema em 30 de julho de 2026 e sugeriu que a vulnerabilidade pode ter sido descoberta usando ferramentas de IA capazes de escanear firmware de código aberto em busca de fraquezas de entropia em escala .

Escala e Linha do Tempo do Roubo

O ataque se desenrolou em múltiplas ondas coordenadas:

• 30 de julho — Primeira onda: Em uma varredura de 25 minutos começando por volta das 21:56 ET, o invasor drenou cerca de 594 BTC (~US$ 38 milhões) de aproximadamente 500 carteiras, mirando primeiro os maiores saldos . A Chainalysis descobriu que US$ 30 milhões foram roubados apenas nos primeiros 10 minutos .
• 31 de julho a 4 de agosto — Segunda e terceira ondas: Varreduras adicionais elevaram as perdas para 1.596 BTC (~US$ 100 milhões+) em cerca de 7.300 endereços .
• Suspeita de quarta onda: A Galaxy Research sinalizou uma possível quarta onda que, se confirmada, levaria o total para 2.055 BTC (~US$ 130 milhões) .

No início de agosto, a TRM Labs classificou o incidente Coldcard como o terceiro maior hack de criptomoedas de 2026 . A Galaxy Research identificou pelo menos 15 invasores independentes agora correndo para explorar quaisquer carteiras vulneráveis ainda não migradas .

Movimentação de Fundos em 7 de Agosto: 30,185 BTC (US$ 1,94 milhão)

Em 7 de agosto de 2026, uma carteira ligada ao hacker da Coldcard transferiu 30,185 BTC (~US$ 1,94 milhão) para um endereço recém-criado, de acordo com o rastreador on-chain Lookonchain . Esta foi a primeira movimentação de fundos roubados desde o início dos exploits.

• A transferência representou aproximadamente 1,5% do total de 2.055 BTC roubados .
• Analistas interpretaram como uma transação de teste ou um passo preliminar para um resgate maior .
• O preço do Bitcoin mal reagiu, sendo negociado perto de US$ 64.152 na época .

90% dos Fundos Roubados Permanecem Intocados

Após a transferência de 7 de agosto, aproximadamente 98,5% dos cerca de 2.055 BTC roubados permanecem intocados nas carteiras do hacker . Esse padrão é consistente com invasores sofisticados que esperam meses ou anos antes de tentar lavar grandes somas. Empresas forenses de blockchain e exchanges estão rastreando os endereços de perto .

Resposta da Coinkite e Atualização de Firmware

A Coinkite agiu rapidamente após descobrir a vulnerabilidade em 30 de julho:

• 30 de julho — Emitiu um aviso de segurança urgente divulgando publicamente o bug .
• 31 de julho — Lançou firmware de emergência corrigido para todos os modelos e linhas de lançamento afetados :
  • Mk3: versão 4.2.0 ou posterior
  • Mk4/Mk5 padrão: versão 5.6.0 ou posterior
  • Q padrão: versão 1.5.0Q ou posterior
  • Mk4/Mk5 Edge: versão 6.6.0X ou posterior
  • Q Edge: versão 6.6.0QX ou posterior

Aviso crítico: Instalar o firmware corrigido não repara uma semente já comprometida. A Coinkite disse a todos os usuários afetados para gerar uma nova semente no firmware corrigido e mover suas moedas imediatamente . A empresa também destruiu o estoque restante fabricado com firmware vulnerável e interrompeu as remessas .

Versões de Firmware Afetadas

• Maior risco: Firmware Mk3 4.0.1 a 4.1.9, sementes geradas sem pelo menos 50 lançamentos de dados independentes ou uma frase-senha BIP-39 forte e única
• Também afetados: Modelos Mk4, Mk5 e Q antes das versões de firmware corrigidas listadas acima
• Não afetados: Sementes geradas antes da janela de firmware vulnerável; sementes usando 50+ lançamentos de dados; sementes protegidas por uma frase-senha BIP-39 única; dispositivos TAPSIGNER, OPENDIME e SATSCARD (código diferente); e configurações multisig com pelo menos uma chave não vulnerável

Implicações para a Autocustódia e a Comunidade Cripto

• Hardware wallets não são à prova de falhas. O incidente Coldcard quebrou a suposição de que carteiras offline são imunes a roubo remoto de sementes . A falha viveu escondida no firmware por mais de cinco anos.
• Sementes geradas em firmware vulnerável estão permanentemente comprometidas. Mesmo após instalar a correção, sementes antigas permanecem adivinháveis . Os usuários devem criar carteiras totalmente novas e migrar os fundos.
• Medo generalizado no mercado. A Glassnode relatou que aproximadamente 210.000 BTC foram movidos de carteiras de detentores de longo prazo (inativas por mais de 155 dias) na semana seguinte ao hack — a maior mudança desse tipo desde 2024 — sugerindo uma perda ampla de confiança entre os detentores de Bitcoin em autocustódia .
• Auditoria com IA está acelerando. Pesquisadores de segurança notaram que o ataque foi provavelmente auxiliado por ferramentas de IA que podem escanear firmware de código aberto em busca de fraquezas de entropia em escala, uma capacidade agora rapidamente adotada em todos os projetos de hardware wallet .
• "Fiz tudo certo" não é mais suficiente. Muitas vítimas seguiram as melhores práticas de autocustódia e ainda assim perderam tudo, ressaltando que a integridade do firmware é a nova fronteira do risco de hardware wallet .