Bitcoin: Falha em Coldcard Drena US$ 88 Milhões e Expõe Carteiras

Um ataque em andamento a carteiras de hardware Coldcard resultou na drenagem de aproximadamente US$ 88,6 milhões em Bitcoin, afetando milhares de endereços. A falha, originada em um erro de firmware de março de 2021, comprometeu a aleatoriedade na geração de frases semente, tornando as chaves privadas suscetíveis a adivinhação. Pesquisadores da Galaxy Research identificaram três ondas de roubos, com a mais recente ocorrendo recentemente.

A situação levou muitos usuários a reavaliar a segurança da auto-custódia, com alguns movendo seus ativos de volta para exchanges centralizadas. A Galaxy Research alerta que todas as carteiras Coldcard single-signature criadas após a atualização de firmware de 2021 estão em risco e devem ter seus fundos transferidos imediatamente. A investigação sobre os endereços dos atacantes está em curso, envolvendo autoridades federais e empresas de cibersegurança.

Detalhes da Exploração e a Vulnerabilidade da Coldcard

A Galaxy Research confirmou que cerca de 1.367 Bitcoins foram roubados de 4.585 endereços distintos, totalizando aproximadamente US$ 88,6 milhões. A terceira onda de furtos, que drenou 207,73 BTC, intensificou o alerta para a comunidade cripto. Alex Thorn, chefe de pesquisa da Galaxy, descreveu os movimentos como deliberados e provavelmente orquestrados por modelos de linguagem grandes (LLMs), indicando uma sofisticação no ataque.

A raiz do problema reside em um erro na construção do firmware da Coinkite, fabricante da Coldcard, em março de 2021. Este erro causou a geração de frases semente com aleatoriedade insuficiente, comprometendo a segurança das chaves privadas. Thorn enfatizou que todas as carteiras Coldcard single-signature geradas após essa atualização de 2021 estão vulneráveis e serão eventualmente drenadas.

Os Bitcoins roubados, que permaneceram intocados por uma média de 3,18 anos, pertenciam a detentores de longo prazo, sublinhando a gravidade da exploração para investidores pacientes. Os fundos das três ondas documentadas permanecem nos endereços dos atacantes, sem movimentação adicional até o momento. Este cenário desafia o princípio fundamental da auto-custódia, "not your keys, not your coins", à medida que usuários buscam a segurança de exchanges centralizadas como Coinbase e Binance.

Um exemplo dramático é o do coach canadense Jonathan Goodman, que relatou a perda de 18,25 BTC, equivalentes a cerca de US$ 1,6 milhão canadense, em apenas sete minutos no dia 29 de julho. Goodman afirmou que suas chaves nunca tocaram a internet e estavam guardadas em um cofre, evidenciando a natureza insidiosa da falha de geração da frase semente. Ele está registrando ocorrências com a polícia e a comissão de valores mobiliários de Ontário.

Impacto no Brasil e a Cultura da Auto-Custódia

A notícia da exploração da Coldcard ressoa de forma particular no Brasil, onde a adoção de carteiras de hardware para a auto-custódia de Bitcoin e outras criptomoedas tem crescido. Muitos investidores brasileiros, buscando maior segurança e controle sobre seus ativos digitais, optam por soluções como a Coldcard. Este incidente serve como um lembrete crítico de que, mesmo em dispositivos físicos, a segurança depende de múltiplos fatores, incluindo a integridade do software e firmware.

A Lei 14.478/2022, o marco legal dos criptoativos no Brasil, foca na regulamentação dos prestadores de serviços de ativos virtuais, mas a auto-custódia permanece uma escolha individual. Para o investidor brasileiro, a perda de criptoativos devido a uma falha de segurança em uma carteira de hardware levanta questões importantes sobre a declaração de Imposto de Renda. A Instrução Normativa 1.888 da Receita Federal exige a declaração de criptomoedas, e perdas como esta, embora dolorosas, devem ser devidamente registradas para fins fiscais, mesmo que não haja um mecanismo direto de compensação de perdas de capital em criptoativos. Este incidente sublinha a complexidade da segurança na blockchain e a importância da diligência.

Este evento também pode levar a uma reavaliação da confiança em diferentes marcas de hardware wallets no mercado brasileiro. A necessidade de uma pesquisa aprofundada (DYOR) sobre a reputação, histórico de segurança e processos de auditoria de firmware de qualquer dispositivo de auto-custódia torna-se ainda mais evidente. Embora exchanges brasileiras como Mercado Bitcoin ou Foxbit possam ver um influxo de usuários preocupados, o ideal é que a comunidade cripto no Brasil se una para compartilhar informações e melhores práticas de segurança, reforçando a resiliência do ecossistema local contra vulnerabilidades.

Próximos Passos e O Que Observar no Cenário Cripto

A comunidade cripto global, incluindo os usuários brasileiros, deve acompanhar de perto os desdobramentos da investigação da Galaxy Research e as ações da Coinkite. A empresa fabricante da Coldcard precisará emitir comunicados claros sobre a falha, orientar os usuários afetados e detalhar as medidas corretivas para restaurar a confiança. O monitoramento da movimentação dos fundos roubados pelos atacantes será crucial para entender a dinâmica do ataque e, possivelmente, rastrear os responsáveis.

Este incidente reforça a importância de estratégias de segurança robustas, como o uso de carteiras multi-signature (multi-sig), que exigem múltiplas aprovações para movimentar fundos, adicionando uma camada extra de proteção. A volatilidade do mercado de criptomoedas, com o Bitcoin sendo negociado atualmente em torno de US$ 63.255,00, conforme dados de mercado, sublinha que a segurança dos ativos é tão crítica quanto a análise de mercado. A lição para todos os detentores de criptoativos é a necessidade de vigilância constante e a adoção de práticas de segurança que vão além da simples posse de uma carteira física.