Felipe Ojeda afirmou nesta sexta-feira (31) que está entre as vítimas da falha de segurança da Coldcard, carteira de hardware voltada à autocustódia de Bitcoin. Segundo ele, a Coldcard Mk3 era usada como um “cofre” totalmente offline, onde mantinha quase todo o seu capital, até perceber uma grande saída de fundos.
O que aconteceu: a própria Coldcard informou que os modelos Mk3, Mk4, Mk5 e Q estão vulneráveis. A empresa reconheceu que o erro foi dela, e não dos usuários. De acordo com os dados on-chain citados no caso, os fundos drenados foram enviados para quatro endereços, somando mais de 1.082 BTC. O ataque teria esvaziado cerca de 1.200 endereços em 41 minutos.
Ojeda disse que já registrou boletim de ocorrência e pretende processar a Coinkite no Brasil, embora avalie que a capacidade financeira da empresa possa ser limitada diante do tamanho das perdas. Ele também relatou incômodo com a reação inicial de Rodolfo Novak, fundador da Coinkite, que teria tratado os primeiros alertas como FUD antes de apagar as publicações e ver a empresa divulgar um texto detalhando a vulnerabilidade.
Por trás da falha: Ojeda afirmou que o problema surgiu depois que a Coldcard fechou parte do código em 2021. Segundo ele, a mudança afetou o gerador de seeds, que passou a usar um PRNG (gerador pseudoaleatório, uma forma menos segura de criar números aleatórios), reduzindo a entropia das carteiras. Ele disse ainda que versões anteriores ao firmware 4.0.1 da Mk3 e as carteiras Passport, que usam o código aberto anterior, estariam seguras.
Para o brasileiro que faz autocustódia, o caso reacende uma discussão prática: guardar as chaves por conta própria elimina o risco de corretora, mas não elimina falhas de software, firmware ou geração da seed.
Ojeda reconheceu que o uso de uma (uma palavra extra além das da seed) poderia ter evitado o ataque, mas disse não se sentir confortável com esse método após ver clientes perderem acesso por erro operacional. Ele também afirmou que vai revisar toda a forma como armazena e que já há vítimas se organizando para uma possível ação coletiva contra a empresa.
