Felipe Ojeda, um dos principais defensores do Bitcoin no Brasil, revelou nesta sexta-feira (31) estar entre as vítimas da falha de segurança da Coldcard. Em resumo, as carteiras geravam seeds com uma baixa entropia, permitindo que saldos fossem drenados.
Uma vulnerabilidade relacionada à geração de seeds em carteiras físicas Coldcard colocou usuários de Bitcoin em alerta e reacendeu o debate sobre os riscos da autocustódia, da geração de números aleatórios e da confiança em dispositivos considerados altamente seguros.

Um investidor brasileiro afirmou ter perdido praticamente todos os bitcoins armazenados em uma carteira Coldcard utilizada como reserva de longo prazo. Segundo os relatos divulgados, os ativos foram retirados por terceiros depois que a vulnerabilidade permitiu a identificação ou o aproveitamento de chaves privadas com entropia insuficiente.

A movimentação chamou atenção porque a carteira permanecia offline e era usada exclusivamente para receber e guardar os ativos. Mesmo sem conexão permanente com a internet, uma seed criada com aleatoriedade inadequada pode ser vulnerável a ataques capazes de testar combinações até encontrar a chave correspondente.

O caso mostra que o armazenamento offline não elimina todos os riscos. A segurança depende também da qualidade da geração da seed, do firmware utilizado e dos procedimentos adotados pelo usuário.

Dados observados na rede Bitcoin indicaram que os fundos associados aos casos conhecidos foram concentrados em poucos endereços. A velocidade das transferências e a quantidade de carteiras atingidas sugerem uma ação coordenada, embora a extensão definitiva das perdas ainda dependa da identificação de outras vítimas.

Em comunicado, a Coinkite, empresa responsável pela Coldcard, reconheceu a existência de uma falha no firmware e informou que diferentes modelos poderiam estar sujeitos ao problema. A orientação divulgada foi atualizar o software, considerar as seeds potencialmente comprometidas e transferir os bitcoins para carteiras criadas por um processo considerado seguro.

A recomendação é especialmente relevante para proprietários de modelos Mk4, Mk5 e Q, além de unidades Mk3 que tenham recebido determinadas versões de firmware. Usuários devem verificar cuidadosamente as instruções oficiais do fabricante antes de movimentar os fundos, evitando inserir seeds em computadores, celulares ou páginas desconhecidas.

A origem do problema estaria associada à substituição de uma implementação anterior de geração de entropia por um mecanismo pseudoaleatório com espaço de possibilidades muito menor do que o esperado para uma carteira de Bitcoin. Na prática, isso reduziria a dificuldade de um ataque de força bruta, sobretudo contra determinados dispositivos e versões de software.

Especialistas em criptografia consideram a aleatoriedade um dos componentes básicos de qualquer sistema de chaves. Uma falha nessa etapa pode comprometer a segurança mesmo quando o dispositivo é fisicamente resistente, permanece desconectado e utiliza recursos como assinatura offline ou armazenamento air-gapped.

A principal lição para os usuários é que uma carteira de hardware não deve ser tratada como uma garantia absoluta. Firmware, processo de configuração, backups e políticas de recuperação precisam ser avaliados em conjunto.

O investidor brasileiro também afirmou ter registrado ocorrência e avaliava medidas judiciais contra a fabricante. A eventual responsabilização dependerá de fatores como a jurisdição aplicável, os termos de uso, a comprovação da falha, a relação de causalidade e a identificação dos prejuízos de cada usuário.

O episódio ainda pode afetar a percepção pública sobre a autocustódia. Para defensores do armazenamento próprio, a eliminação de intermediários reduz riscos de bloqueio e falência de corretoras. Por outro lado, a responsabilidade técnica e operacional passa integralmente ao proprietário, que precisa lidar com seeds, passphrases, backups, multisig e atualização de dispositivos.

A utilização de uma passphrase adicional ou de uma configuração multisig poderia impedir determinados tipos de perda, mas também aumenta a complexidade da operação. Uma passphrase esquecida, um backup incompleto ou a perda de um dos dispositivos necessários para assinar transações pode tornar os fundos inacessíveis.

Por isso, especialistas recomendam que usuários façam testes com pequenos valores, mantenham cópias físicas protegidas, documentem o processo de recuperação e nunca divulguem suas palavras de recuperação. Também é importante desconfiar de mensagens que prometam recuperar bitcoins perdidos mediante pagamento antecipado.

O caso envolvendo a Coldcard se soma a outros incidentes que reforçam a necessidade de auditorias independentes, transparência no desenvolvimento de software e comunicação rápida com a comunidade. Código aberto, por si só, não substitui revisão técnica, testes de segurança e resposta responsável diante de uma vulnerabilidade.

Para acompanhar outras reportagens sobre economia brasileira, inovação, ativos digitais e os impactos da tecnologia nos negócios, consulte a cobertura de notícias do G10 News