Uma falha de segurança em versões do firmware da Coldcard levou ao roubo de centenas de BTC em carteiras de usuários. O problema não estava no Bitcoin, e sim na forma como algumas carteiras foram criadas dentro do dispositivo, em uma etapa crítica para a geração das chaves privadas.
O que aconteceu: a falha atingiu a geração de entropia (a aleatoriedade usada para criar a carteira). Na prática, isso pode ter reduzido o número de combinações possíveis de algumas seed phrases (a sequência de palavras que recupera a carteira), facilitando o trabalho de criminosos para reconstruir frases válidas, localizar endereços na blockchain e retirar os fundos.
Por que importa: os invasores não precisaram acessar fisicamente os aparelhos, roubar senhas ou instalar malware. A brecha estava no momento em que a carteira nasceu. Como a blockchain do Bitcoin é pública, os atacantes conseguiram calcular possíveis carteiras afetadas e verificar quais tinham saldo.
A Coinkite, empresa responsável pela Coldcard, orientou usuários afetados a atualizar o firmware, criar uma nova carteira com uma nova seed e transferir os bitcoins para um novo endereço. Só atualizar o dispositivo não resolve o risco de uma seed gerada durante o período vulnerável.
Como reduzir o risco: uma passphrase BIP39 (senha extra adicionada à seed) pode funcionar como camada complementar de proteção. Mesmo que alguém descubra a frase de recuperação, os fundos podem continuar inacessíveis sem essa senha adicional. Outras medidas citadas no caso incluem manter o firmware em dia, comprar carteiras apenas de fabricantes ou revendedores oficiais, guardar a seed phrase sempre offline e, para quantias maiores, considerar carteiras multisig (que exigem múltiplas chaves para mover os fundos).
Para quem faz autocustódia no Brasil, o recado é direto: tirar cripto da corretora reduz um tipo de risco, mas transfere para você a responsabilidade sobre o dispositivo, a seed e as práticas de segurança.
