A conta oficial da Coldcard no X foi comprometida na madrugada deste domingo (11) e publicou um alerta falso sobre uma suposta vulnerabilidade em firmwares recentes. A mensagem instruía usuários a fazer uma “migração” e levava ao domínio migrate.coldcardwallet.io, que não é o site oficial da empresa.
O post explorava a preocupação com o bug de entropia (falha que reduz a aleatoriedade usada para criar chaves) identificado em firmwares da Coldcard. A publicação recomendava conectar o dispositivo a um computador e interagir com o site falso, ações que poderiam expor a seed (frase usada para recuperar a carteira) ou as chaves privadas.
A Coldcard informou ao suporte do X que mantinha as credenciais e a autenticação de dois fatores offline protegidas, mas não encontrou registros de login, sessão ou acesso compatíveis com a publicação. A empresa levantou a possibilidade de um acesso não autorizado em nível de plataforma ou administrativo do X e classificou o caso como direcionado.
Para usuários no Brasil, a orientação é verificar atualizações apenas em coldcard.com e nos canais oficiais da Coinkite. Nunca informe a seed, a passphrase ou chaves privadas em sites acessados por links de redes sociais.
O incidente ocorre enquanto usuários afetados pelo bug de entropia continuam migrando fundos para seeds novas, criadas em firmware corrigido. Estimativas da comunidade indicam que entre 1.600 e 2.055 BTC foram roubados em diferentes ondas desde 30 de julho de 2026. Atualizar o firmware não corrige seeds antigas; quem interagiu com o site falso deve tratá-las como comprometidas e gerar novas chaves com cuidado.
