Bloomberg — Hackers descobriram uma falha de software em uma marca de carteira “fria” de bitcoin — considerada um dos locais mais seguros para armazenar criptomoedas — e estão desviando dezenas de milhões de dólares em um ataque que ainda está em andamento.
No final da semana passada, a Coinkite, com sede no Canadá, notificou os usuários de seus dispositivos Coldcard de que uma falha de segurança nas chaves que protegem seus bitcoins havia comprometido algumas carteiras. Até segunda-feira (3), cerca de 1.367 tokens, no valor de aproximadamente US$ 86 milhões, haviam sido desviados de mais de 4.500 carteiras, de acordo com a Galaxy Research.
Coldcard é uma marca de dispositivos de hardware que permite aos usuários proteger seus bitcoins nas chamadas carteiras frias. Essas carteiras deveriam ser o local mais seguro para guardar criptomoedas, pois ficam isoladas da internet.
No entanto, uma falha no software dos dispositivos Coldcard fez com que a “frase-semente” gerada — uma longa sequência de palavras usada para obter acesso a uma carteira — fosse previsível, de acordo com um relatório da equipe de engenharia da Block.
⟶ Assine as newsletters da Bloomberg Línea e receba as notícias do dia em primeira mão no e-mail.
“Isso expõe a falácia de que suas criptomoedas estejam offline”, afirmou Aneirin Flynn, diretor executivo da empresa de tecnologia de segurança cibernética Failsafe. “O dispositivo é responsável apenas por gerar suas senhas, e se a matemática subjacente for comprometida, suas senhas podem ser submetidas a engenharia reversa.”
Para alguns usuários, a notícia dos ataques foi, em princípio, incompreensível. Jonathan Goodman, uma das vítimas, disse que achou que isso não o afetaria, mas verificou sua carteira mesmo assim.
“No momento em que a tela carregou, soube que estava perdido, pois vi linhas vermelhas indicando saques”, disse ele à Bloomberg News. “Entre 21h36 e 21h43 do dia 29 de julho, todas as minhas três carteiras foram completamente esvaziadas.”
O cerne da questão foi a forma como a Coinkite implementou o gerador de números aleatórios ao produzir as frases, segundo Block.
A verdadeira aleatoriedade é um componente essencial da segurança criptográfica, mas as carteiras Coldcard possuíam um mecanismo de contingência que resultou na geração de chaves utilizando valores determinísticos, como os números de série dos dispositivos.
Leia também: Aposta de Eric Trump em empresa de bitcoin reduz fortuna da família em US$ 600 milhões
O resultado foi que os invasores conseguiram recalcular e esvaziar sistematicamente as carteiras dos usuários. Relatórios divulgados na sexta-feira (31) estimavam as perdas em cerca de US$ 38 milhões, mas os números subiram rapidamente ao longo do fim de semana.
Em comunicado publicado em seu site, a Coinkite confirmou que os fundos controlados por sementes geradas no firmware afetado estão em risco. O firmware corrigido já está disponível para todos os modelos afetados e versões do produto, informou a empresa.
O ataque atraiu ampla atenção na internet, com influenciadores e executivos da empresa se manifestando sobre as implicações.
Até o momento, em 2026, a quantidade de criptomoedas roubadas está abaixo do ano passado. No primeiro semestre do ano, as perdas totais atingiram US$ 972 milhões, menos da metade dos US$ 2,3 bilhões roubados durante o primeiro semestre de 2025, de acordo com um relatório da TRM Labs publicado no mês passado. Ainda assim, o número total de ataques subiu para 207, o maior registrado em qualquer período de seis meses.
Ari Redbord, diretor global de políticas da TRM, afirmou que violações de infraestrutura e de chaves representam cerca de 15% dos incidentes, sendo responsáveis por 76% das perdas. “O caso Coldcard mostra que a autocustódia transfere o risco, mas não o elimina”, disse ele.
Leia também: Fundo do poço? Bitcoin perde US$ 1,3 tri; veteranos alertam que pode cair ainda mais
Para Goodman, o incidente destacou o quanto de “fé cega” ele depositou na tecnologia que utiliza. Ele afirmou que não investirá em bitcoin nem utilizará carteiras frias daqui para frente.
“Se é realmente tão complicado e técnico assim, talvez não valha a pena fazer isso”, disse Goodman. “Ninguém sabe como basicamente nada funciona.”
Veja mais em bloomberg.com
©2026 Bloomberg L.P.
