Em 10 de outubro de 2021, a conta oficial da COLDCARD publicou que o dispositivo tornava impossível o que ela chamou de retirement attack (ataque de aposentadoria), e recomendava que o usuário gerasse a própria entropia com dados.
Um seguidor perguntou o que era esse ataque. A resposta da empresa foi direta, é quando os criadores do projeto podem deixar um “bug” na geração de entropia para recuperar os fundos depois.
Sete meses antes daquele post, em 1º de março de 2021, um commit no firmware da própria COLDCARD trocou a rota de geração da seed e a jogou num gerador pseudoaleatório de software.
A falha ficou lá cinco anos. Em 30 de julho de 2026 alguém a explorou e drenou, até agora, 1.596 BTC confirmados, com uma quarta onda em apuração que levaria o total a 2.055 BTC, cerca de US$ 130 milhões.
A empresa descreveu o vetor com precisão cirúrgica enquanto o vendia como impossível no próprio produto. É por isso que boa parte da comunidade passou a semana especulando se houve intenção.
O que aconteceu, sem jargão
O chip usado nos dispositivos tem um gerador de números aleatórios por hardware. Era ele que deveria produzir a aleatoriedade da seed, a frase de recuperação que controla todo o dinheiro da carteira.
O commit de março de 2021 mudou a chamada, e por um erro de configuração o firmware passou a usar um gerador por software, alimentado por dados previsíveis do próprio aparelho e sem coletar aleatoriedade nova depois disso. O código que deveria barrar a compilação nesse caso verificava se um parâmetro existia, e não se ele estava ligado. O parâmetro existia, valia zero, e a build passou em silêncio.
Na prática, seeds criadas em Mk2 e Mk3 no período carregam cerca de 40 bits de aleatoriedade real, e Mk4, Mk5 e Q ficam por volta de 72 bits, contra os 128 bits de uma frase de 12 palavras bem gerada. Quarenta bits são pouco mais de um trilhão de combinações, algo que um cluster de placas de vídeo percorre em minutos.
Atualizar o firmware corrige a geração futura, mas não conserta a seed antiga. Quem gerou a chave no período precisa criar carteira nova e mover os fundos.
Foi intencional?
A pergunta está em todo lugar desde que o post de 2021 voltou a circular, e merece ser tratada com os fatos na mesa.
O que alimenta a suspeita, além da ironia do post, é que o gerador de software era semeado com o identificador único do chip, um dado que o fabricante conhece de cada aparelho que vende, e que a Coinkite fechou o código na mesma reescrita, retirando da comunidade o incentivo de auditar. Há ainda o registro de que a empresa minimizou o problema nos primeiros dias, antes de assumir responsabilidade quando a equipe de engenharia de segurança da Block publicou a análise do runtime.
O que pesa contra a tese é a forma do erro e o comportamento posterior.
A falha tem o desenho clássico de acidente de compilação, ficou em código publicado por cinco anos, foi a própria Coinkite que divulgou o alerta e o alerta é o que disparou a corrida do atacante. Uma porta deixada de propósito não é sacada por terceiro em 41 minutos, é drenada devagar e em silêncio. E os fundos, cerca de 90% deles, continuam parados em endereços rastreáveis, com cerca de 600 carteiras suspeitas já reportadas a investigadores federais americanos.
Não há, até agora, nenhuma evidência de intenção. Há uma coincidência de calendário que a empresa vai carregar por muito tempo.
O ataque foi cirúrgico, e as vítimas não eram novatas
A primeira onda drenou 1.196 endereços em quatro blocos consecutivos. O atacante rodou scripts, pagou taxa uniforme muito acima da média da rede para garantir confirmação imediata e impedir que as vítimas usassem RBF para resgatar o dinheiro, e estabeleceu um piso econômico, nenhum endereço com menos de 0,15 BTC. A perda mediana foi de 0,41 BTC e a maior vítima individual perdeu 29,9 BTC.
Nenhum endereço multisig e nenhum endereço taproot entrou na lista.
Os dados da Galaxy Research completam o retrato. As moedas estavam paradas em média 3,18 anos, mediana de 3,55. Não é o perfil de quem comprou ontem. É o perfil de quem estuda o assunto há anos, escolheu o fabricante mais associado a rigor técnico, seguiu o manual à risca e ainda assim tinha uma chave adivinhável na mão sem nenhum sinal disso.
O efeito na comunidade foi imediato. Brad Mills, veterano do Bitcoin no Canadá, escreveu que passou três dias ajudando gente a migrar fundos e concluiu que não sabe mais o que recomendar.
Código fechado, cofre aberto
O desenvolvedor brasileiro Edilson Osorio Jr., fundador da OriginalMy, publicou uma das análises mais completas do caso e aponta uma causa de fundo que vai além do erro de compilação.
O mesmo commit que redirecionou a geração de seed também removeu bibliotecas criptográficas de código aberto, maduras e auditadas pelo ecossistema, e as substituiu por um runtime escrito internamente. O firmware anterior não tinha o problema. Osorio liga essa reescrita à mudança de licença, feita depois que outro fabricante usou o código aberto da COLDCARD como base para a própria carteira.
“Quando o código não é livre, a comunidade não tem incentivos para auditar”, resume ele.
É uma leitura de causa, não um fato apurado. A Coinkite atribui o episódio a um erro de build e afirma acreditar que o atacante usou inteligência artificial para achar a falha, sendo que a auditoria automatizada da própria empresa, semanas antes, não encontrou nada.
O que protegeu quem não perdeu nada
O padrão entre os poupados é claro e é o mesmo princípio que rege a custódia institucional. Redundância entre fontes ou partes independentes.
Passphrase BIP-39, entropia própria gerada por dados, ou multisig com dispositivos de fabricantes distintos. Três COLDCARD Mk3 num arranjo 2 de 3 teriam as três seeds igualmente fracas, então multisig do mesmo fornecedor não resolveria nada.
João Paulo Mayall, que estruturou o primeiro fundo multimercado (FIM IE) 100% em Bitcoin em 2020 e o primeiro ETF de Bitcoin da América Latina em 2021, e que em julho apareceu na quinta posição da lista dos dez empreendedores que construíram o mercado cripto brasileiro, explica que é exatamente esse o desenho de um fundo regulado.
“Custódia de fundo não é alguém guardando sua chave numa gaveta. O ativo fica em nome do fundo, segregado do patrimônio do custodiante, e administrador, gestor e custodiante são entidades diferentes que precisam concordar para mover qualquer coisa. Num desenho bem feito isso é multisig entre partes independentes, com lastro verificável, auditoria e seguro. Não é confiança cega, é separação de poderes.”
A crítica que João Paulo Mayall ouviu em 2020 e 2021
Quando esses produtos apareceram no Brasil, a objeção era sempre a mesma, que serviam a quem não queria ter a própria chave.
“Nunca foi isso. Era produto para quem não tem perfil operacional para ter a chave, e isso não é ignorância nem preguiça, é comportamento. O episódio da COLDCARD mostrou que nem o usuário mais preparado do mercado enxergou uma falha que ficou cinco anos em código aberto. Se o mais preparado não viu, insistir que todo mundo carregue isso sozinho é ideologia, não é segurança.”
Há um ponto histórico que raramente entra nessa discussão. A custódia física de ativo pelo investidor comum é prática extinta há décadas. Nos Estados Unidos, a crise do papel do fim dos anos 1960 levou à criação da Depository Trust Company em 1973. No Brasil, a Lei 8.021 de 1990 vedou a emissão de títulos ao portador, e a ação escritural virou regra. Faz duas gerações que ninguém guarda papel em casa, e não existe demanda de volta.
“Quem defende autocustódia com rigor religioso confunde o próprio perfil com o do mercado inteiro. Você não constrói produto para um público que não existe e depois acusa o público real de preguiça. Isso não é princípio, é erro de TAM.”
O preço não se moveu, e esse é o dado mais revelador
O comportamento on-chain durante a semana mostrou pânico real. Transferências abaixo de 1 BTC dispararam para níveis que não se viam desde o colapso da FTX, e o número de endereços ativos se aproximou de um milhão em um único dia.
O preço do Bitcoin, negociado perto de US$ 63 mil, ficou praticamente onde estava.
Um evento catastrófico no aparelho mais respeitado do nicho, com milhares de endereços tocados e mais de cem milhões de dólares perdidos, não produziu movimento de preço perceptível. Isso não diminui a perda de ninguém. Diminui a pretensão de quem afirma que a autocustódia individual é a única porta legítima de entrada num ativo que já tem exposição de trilhões através de veículos regulados.
A lição, no fim, não é que hardware wallet falha. É que toda camada única falha em algum momento, e você não vai ser avisado.
E, no caso da COLDCARD, a empresa já tinha escrito a lição em 2021. Só não imaginou que estava descrevendo o próprio firmware.
