Falha em firmware da Coldcard permite esvaziamento remoto e já drenou mais de US$ 70 milhões em Bitcoin

Ponto-chave: usuários de carteiras de hardware perderam mais de US$ 70 milhões em Bitcoin (BTC) após invasores explorarem uma falha de firmware da Coldcard que possibilitou o esvaziamento remoto de fundos. A CoinKite informou que alguns dispositivos afetados geraram seeds de recuperação com aleatoriedade baseada em software, em vez de usar o gerador de números aleatórios de hardware embutido. O problema teve origem em um firmware lançado em março de 2021. Versões mais novas corrigem o bug, mas não tornam seguras as seeds de recuperação criadas nos dispositivos impactados. A Galaxy Research identificou 1.082,65 BTC varridos de 1.196 endereços em cerca de 41 minutos. Changpeng Zhao afirmou que carteiras de hardware também podem ter bugs e sugeriu dividir os fundos entre diferentes carteiras, ressaltando que essa estratégia traz riscos distintos. Por que isso importa: uma falha na geração de seeds pode abalar a confiança na autocustódia, já que uma simples atualização de firmware não corrige seeds antigas. Sentimento de mercado: baixista, com estresse, guiado por evento, medo. Motivo: mais de US$ 70 milhões em Bitcoin foram drenados por uma falha de firmware da Coldcard, elevando diretamente o risco percebido para usuários de autocustódia. Casos similares no passado: no ataque à Atomic Wallet em 2023, usuários perderam mais de US$ 35 milhões após o esvaziamento de diversas carteiras em múltiplos ativos (Fortune). A diferença central é que o caso da Coldcard envolve seeds de recuperação geradas via firmware, enquanto o episódio da Atomic Wallet decorreu do comprometimento de uma carteira de software. Efeito em cadeia: o primeiro canal é a confiança na autocustódia, pois um defeito na geração de seeds faz o armazenamento offline parecer menos isolado de riscos de software. Se surgirem novas varreduras mesmo após patches emergenciais, a preocupação pode migrar de um bug específico para a necessidade mais ampla de substituição de seeds de recuperação. O segundo canal é o comportamento de custódia: usuários podem reavaliar se armazenar tudo em um único dispositivo concentra risco operacional. Oportunidades e riscos Oportunidades: se as atualizações da CoinKite indicarem que novos esvaziamentos foram contidos, a estabilização da confiança na autocustódia pode virar um sinal de entrada para quem monitora exposição à infraestrutura de carteiras. Riscos: se seeds antigas continuarem em uso ou surgirem novas varreduras, reduzir a dependência de uma configuração baseada em uma única carteira pode limitar perdas em caso de outro esvaziamento.