A conta oficial da Coldcard no X, @COLDCARDwallet, foi comprometida na madrugada de domingo (11) e publicou um golpe de phishing contra usuários de Bitcoin. A mensagem falsa falava em uma suposta “atualização de segurança urgente” e direcionava para o domínio migrate.coldcardwallet.io, identificado como fraudulento.
O post dizia haver uma “nova vulnerabilidade crítica” na geração de seeds (as palavras que dão acesso à carteira) em firmwares recentes e orientava uma “migração cuidadosa”. Segundo alertas da comunidade, o site falso tentava induzir usuários a ações perigosas, como conectar a Coldcard a um computador ou interagir com a página.
O brasileiro George Ibiapina, especialista em Bitcoin, esteve entre os primeiros a avisar sobre o golpe. Análises preliminares apontaram que o site malicioso poderia comprometer seeds ou chaves privadas caso a vítima seguisse as instruções.
A Coldcard publicou um aviso oficial às 05:46 UTC e, depois, acionou o suporte do X às 06:07 UTC. A empresa afirmou não ter encontrado registro de login, sessão ou acesso correspondente, disse que credenciais e 2FA offline continuavam seguros e levantou a possibilidade de acesso não autorizado em nível de plataforma ou administrativo do X, ainda sem confirmação.
O ataque explora a confusão em torno do bug de entropia no firmware da Coldcard, introduzido em março de 2021 e explorado a partir de 30 de julho de 2026. Esse problema reduzia a força de algumas seeds para cerca de 40 bits em modelos Mk2/Mk3 e 72 bits em modelos mais novos, em vez dos 128 bits esperados. Estimativas citadas por Galaxy Research, TRM Labs e outros apontam perdas entre 1.600 BTC e 2.055 BTC, cerca de US$ 100 milhões a US$ 130 milhões (aprox. R$ 580 milhões a R$ 754 milhões).
