Falha na Coldcard impulsiona movimentação recorde de Bitcoin
A descoberta da vulnerabilidade na hardware wallet Coldcard, fabricada pela Coinkite, provocou uma reação imediata entre pequenos investidores de Bitcoin. Segundo a CryptoQuant, as transferências inferiores a 1 BTC alcançaram 39.600 BTC em 31 de julho, o equivalente a aproximadamente US$ 2,5 bilhões.
O volume foi o maior desde 16 de novembro de 2022, poucos dias após a falência da FTX, quando esse indicador registrou 39.900 BTC. O comportamento chamou atenção porque ocorreu logo após a divulgação da falha de segurança envolvendo as carteiras.
Outro indicador que disparou foi o número de endereços ativos diários. Eles passaram de 645 mil em 30 de julho para quase 1 milhão em 31 de julho, maior marca desde dezembro de 2024. A alta ocorreu principalmente nos endereços de envio, indicando que os usuários estavam retirando moedas de carteiras consideradas vulneráveis.
Julio Moreno, chefe de pesquisa da CryptoQuant, afirmou que existe uma forte correlação entre a divulgação da falha e essa movimentação, embora tenha ressaltado que ainda não seja possível estabelecer uma relação definitiva de causa e efeito.
Depósitos em corretoras aumentam, mas preço do Bitcoin permanece estável
Parte relevante desses bitcoins foi enviada para corretoras. A CryptoQuant informou que os depósitos compostos por transações inferiores a 10 BTC atingiram 7.300 BTC, cerca de US$ 459 milhões, em 31 de julho.
Esse foi o maior volume desse tipo de depósito desde 6 de fevereiro. Mesmo assim, o mercado não apresentou uma pressão significativa de venda.
Segundo Julio Moreno, o comportamento sugere que muitos investidores estavam apenas buscando um ambiente temporariamente mais seguro para armazenar seus ativos, e não liquidando posições.
Na manhã desta segunda-feira (3), o Bitcoin era negociado próximo de US$ 62.457, acumulando queda de cerca de 1% nas últimas 24 horas, conforme dados do CoinGecko.
Como surgiu a vulnerabilidade da Coldcard
A origem do problema remonta a uma atualização de firmware lançada pela Coinkite em março de 2021. Um erro no processo de compilação fez com que as seed phrases fossem geradas com baixa aleatoriedade, reduzindo significativamente a segurança das chaves privadas.
Especialistas afirmam que essa redução de entropia tornou possível realizar ataques automatizados capazes de descobrir as chaves de determinadas carteiras. Segundo as análises, os ataques provavelmente foram executados por meio de varreduras programáticas em larga escala, possivelmente auxiliadas por um modelo de linguagem de grande porte (LLM).
Pesquisadores alertam que todas as carteiras Coldcard de assinatura única criadas após essa atualização de 2021 podem ser comprometidas ao longo do tempo caso seus usuários não movam os fundos para novas carteiras seguras.
O problema não afeta, segundo os relatos apresentados até o momento, carteiras multisig.
Galaxy Research identifica quatro ondas de roubos
A Galaxy Research acompanha a exploração da vulnerabilidade desde sua divulgação. Até sábado, o grupo havia identificado três ondas de ataques, responsáveis pelo roubo de 1.367 BTC distribuídos em 4.585 endereços.
Na segunda-feira, Alex Thorn, chefe de pesquisa da empresa, informou que uma quarta onda provavelmente estava em andamento. Ele identificou varreduras ocorrendo durante 15 blocos consecutivos, aproximadamente 45 vezes acima da frequência considerada normal.
Após remover endereços multisig que haviam sido incluídos por engano na análise inicial, Thorn estimou que essa quarta etapa envolvia 709 endereços e aproximadamente 448,73 BTC, equivalentes a cerca de US$ 28 milhões.
Caso essa estimativa seja confirmada, o prejuízo acumulado sobe para aproximadamente 1.816 BTC, avaliados em cerca de US$ 114 milhões, ou aproximadamente R$ 578 milhões. O pesquisador observou, porém, que nenhuma vítima confirmou oficialmente essa quarta onda e que a estimativa foi baseada em padrões observados na blockchain.
Possibilidade de recuperação e lições para o setor
Segundo Alex Thorn, parte das transações da quarta onda ainda permanecia sem confirmação na mempool utilizando o recurso Replace-by-Fee (RBF). Isso significa que alguns usuários poderiam, em determinados casos, substituir sua própria transação pagando uma taxa maior e enviar os bitcoins para um endereço seguro antes da confirmação definitiva do atacante.
O diretor de segurança da Kraken, Nick Percoco, classificou o episódio como "um alerta geral para toda a indústria de carteiras de hardware". Segundo ele, embora os modelos Mk4, Mk5 e Q da Coldcard utilizem chips de elemento seguro certificados, a implementação do firmware reduziu a entropia das seeds para cerca de 72 bits, comprometendo a segurança.
Percoco defendeu que laboratórios independentes passem a validar as fontes de entropia utilizadas pelos fabricantes, vinculando essas auditorias a versões específicas de firmware e mantendo registros públicos dessas certificações.
Ele também destacou que a Coinkite lançou um hotfix que impede a compilação do firmware caso o gerador correto de entropia não esteja vinculado. Segundo o executivo, esse mecanismo levou aproximadamente 48 horas para ser desenvolvido após a identificação da causa do problema.
