Ataque à carteira Coldcard: 1.359 BTC roubados no maior furto de Bitcoin de 2026

Segundo a BlockBeats (3 de agosto), dados mais recentes indicam que 1.359 bitcoins foram roubados no incidente de invasão envolvendo a carteira de hardware Coldcard. Usuários também relataram falhas após atualizações, com aparelhos travando em páginas de erro, não inicializando ou aparentando ficar inutilizados. O caso já é considerado o maior furto de bitcoin do ano. A BlockBeats reuniu a cronologia do episódio. Análises apontam que o código de firmware comprometido da Coldcard foi lançado em março de 2021. A falha permaneceu por mais de cinco anos em código open source e afetou a geração de seed no Mk3 (e em parte do Mk2), além de modelos posteriores Mk4, Q e Mk5 antes da correção. Ataques em larga escala explorando essa vulnerabilidade ocorreram até 30 de julho de 2026. Em uma janela de cerca de 25 a 41 minutos, os invasores automatizaram varreduras mirando de centenas a milhares de endereços. Inicialmente, cerca de 500 carteiras de assinatura única e 1.324 UTXOs, totalizando aproximadamente 594,5 BTC, foram comprometidos. Uma análise on-chain posterior ampliou o escopo para cerca de 1.196 endereços e 1.082,65 BTC (avaliados em aproximadamente US$ 70,2 milhões). O ataque priorizou endereços com maiores saldos, usou taxas altas fixas e não gerou saídas de troco, consolidando rapidamente os fundos em um pequeno número de endereços. Depois disso, a Coinkite, desenvolvedora da Coldcard, publicou um alerta de segurança confirmando inicialmente que o problema de geração de seed afeta o Mk3 (firmware 4.0.1 e posteriores). A empresa recomendou que usuários afetados migrem com cautela e levantou a hipótese de que atacantes possam ter usado IA para revisar o código open source e identificar a vulnerabilidade. Em 2 de agosto, Alex Thorn, líder de pesquisa da Galaxy, afirmou que os ataques relacionados à carteira Coldcard ainda estão evoluindo, com o surgimento de mais atacantes de menor escala e imitadores tentando atingir frases mnemônicas restantes da Coldcard. O episódio mobilizou diferentes agentes do mercado. Eric Balchunas, analista sênior de ETFs da Bloomberg, disse que a equipe da Coldcard tem apenas cinco funcionários, número considerado surpreendentemente baixo para uma empresa dessa relevância. CZ comentou: "Em um modelo de autocustódia, mesmo que os desenvolvedores corrijam a vulnerabilidade, não conseguem consertar carteiras que já foram geradas; para usuários que usam dispositivos isolados, os desenvolvedores não conseguem contatá-los ou alertá-los diretamente. Até que os usuários ajam de forma proativa, as carteiras afetadas podem permanecer expostas ao risco de ataques. Apoio a autocustódia, mas isso também significa que os usuários assumem total responsabilidade por sua própria segurança." Como o caso pode envolver o uso de IA para comprometer dispositivos criptográficos, a plataforma institucional de custódia BitGo tomou uma iniciativa para tentar reforçar a confiança do setor. Em 1º de agosto, o CEO da BitGo, Mike Belshe, depositou 100 BTC em um endereço de Bitcoin acessível publicamente e convidou o modelo Claude, da Anthropic, a tentar transferir os recursos. A plataforma utiliza tecnologia de multisignature ou computação multipartidária (MPC) para distribuir a autoridade de assinatura entre múltiplas chaves independentes. Até 2 de agosto, a Anthropic não havia respondido publicamente ao desafio. No mercado, o Bitcoin segue pressionado desde o dia 31, recuando de US$ 65.000 para US$ 63.000.