A falha de cinco anos na geração de sementes da Coldcard expôs um problema maior nas auditorias de carteiras de hardware: verificar o componente não basta, é preciso confirmar que ele está ativo no firmware de produção.

Nick Percoco, diretor de segurança da Kraken, disse no X que o caso deve servir de “alerta” para fabricantes e pediu testes independentes para checar se a fonte de aleatoriedade aprovada é a mesma que o dispositivo realmente executa.

O que aconteceu: os auditores confirmaram a existência do gerador de números aleatórios, mas não validaram se ele estava sendo usado efetivamente.

Por que importa: a crítica aponta uma fragilidade na forma como carteiras de hardware são testadas de maneira independente, justamente em uma função central para a segurança.

Para quem usa carteira de hardware, o recado é direto: confiança no fabricante não substitui verificação técnica independente do que está rodando no aparelho.