Um ataque recente expôs uma vulnerabilidade crítica e o hack da Coldcard já drenou cerca de US$ 114 milhões em Bitcoin. Os invasores exploraram uma falha no firmware da carteira física que reduziu drasticamente a aleatoriedade na geração das palavras de recuperação (seeds), esvaziando mais de 700 endereços.
Apenas na primeira varredura, os criminosos retiraram os fundos de aproximadamente 500 carteiras em 25 minutos. O erro responsável pela brecha entrou no código do sistema em março de 2021 e permaneceu público durante cinco anos sem que ninguém notasse.
A origem técnica do problema coincidiu com uma mudança comercial. A Coinkite, fabricante da Coldcard, abandonou a licença de código aberto GPL original e adotou a Commons Clause. O objetivo era restringir o uso do código por empresas concorrentes.
Essa alteração legal exigiu uma reescrita profunda do sistema criptográfico que já era validado pelo mercado. O código substituto, implementado às pressas para remover a versão GPL, continha exatamente a falha que agora custa milhões aos investidores.
Como a reputação ofuscou a segurança no hack da Coldcard
O problema se agravou pela postura da empresa em relação a pesquisadores de segurança. Quando falhas anteriores foram relatadas por especialistas de outras instituições em 2020 e 2023, o CEO da empresa tratou as divulgações como ataques de relações públicas e ameaçou com litígios.
Ameaças legais e ridicularização pública desencorajaram desenvolvedores de revisar o código. Um ambiente corporativo que pune a investigação independente afasta os profissionais capacitados que poderiam ter evitado o hack da Coldcard muito antes de ser explorado.
O ecossistema do Bitcoin foi construído sob o lema “não confie, verifique”. No entanto, os usuários e especialistas falharam ao terceirizar o julgamento técnico para a fabricante da carteira, ignorando os princípios básicos de revisão de código aberto.
A confiança na marca e no seu fundador substituiu a prova técnica. Durante anos, críticos foram silenciados e a popularidade do hardware criou uma falsa presunção de autoridade, fenômeno que resultou na atual crise de confiança do setor de autocustódia.
Para os investidores, a prioridade agora é a migração imediata de fundos. A simples atualização do firmware não repara uma seed que já foi gerada em uma versão vulnerável. É necessário criar uma nova carteira do zero para se proteger do hack da Coldcard e garantir a segurança do Bitcoin.
