Coldcard: falha de RNG drenou 594 BTC em 25 minutos — o que fazer agora

Entre 01h31 e 01h56 UTC de 31 de julho de 2026 — vinte e cinco minutos — um atacante varreu 594 BTC, cerca de US$ 38 milhões, de aproximadamente 500 carteiras Bitcoin. Não houve phishing, não houve golpe de suporte, não houve senha vazada. As vítimas usavam Coldcard, uma das hardware wallets mais respeitadas do mercado, guardada em cofre, com as 12 ou 24 palavras anotadas em papel ou aço. Elas fizeram tudo certo.

O problema é que a seed dessas carteiras nunca foi realmente aleatória. Um erro de compilação introduzido em março de 2021 fez o firmware ignorar o gerador de números aleatórios de hardware e usar, no lugar dele, um PRNG determinístico de software. Durante cinco anos e quatro meses, todo mundo que gerou uma seed naquele aparelho recebeu uma chave que um computador comum consegue adivinhar.

Antes de tudo: o que é Coldcard e o que é Coinkite?

Se você está chegando agora nesse assunto, vale separar duas coisas que a cobertura mistura o tempo todo.

Coinkite é a empresa. Uma fabricante canadense, sediada em Toronto e fundada em 2012, especializada em produtos físicos para Bitcoin. É uma das mais antigas e mais respeitadas do setor — o que explica por que este caso pegou tanta gente experiente.

Coldcard é o produto. Um aparelho físico, do tamanho de uma calculadora de bolso, que guarda a sua chave privada offline e assina transações sem nunca conectar na internet. É o que se chama de hardware wallet ou “carteira fria”. Você monta a transação no computador ou celular, passa para o aparelho (por cartão SD ou QR code), ele assina, e você devolve a transação assinada para a rede. A chave nunca sai de lá.

Quais produtos foram afetados (e quais não)

A Coinkite vende mais coisas além do Coldcard. O advisory é explícito sobre o recorte:

Os três primeiros da lista de “não afetados” escapam por um motivo bem concreto: rodam bases de código completamente diferentes. Nunca passaram perto da função que quebrou.

Quanto custa um aparelho desses

Para dimensionar quem é o público atingido — e por que as carteiras varridas tinham saldos relevantes:

Somando frete e importação, um Coldcard no Brasil sai facilmente acima de R$ 1.500. Ninguém compra um aparelho desses para guardar R$ 200 em Bitcoin. Esse é exatamente o perfil que o atacante filtrou: o script só varreu carteiras com mais de 0,15 BTC.

A cronologia: cinco anos de bug, vinte e cinco minutos de saque

O bug não foi explorado no dia em que nasceu. Ele ficou dormindo no código aberto do firmware por mais de cinco anos até alguém olhar com atenção suficiente — e quando isso aconteceu, a exploração foi industrial.

A assinatura on-chain do saque é o que entrega a natureza automatizada da coisa. Rob Hamilton, da AnchorWatch, rastreou o padrão: todas as carteiras eram single-sig, todas tinham mais de 0,15 BTC, muitas estavam dormentes desde 2021, a taxa era constante em ~30 sat/vB e não havia change output em nenhuma delas.

Esse conjunto de sinais só faz sentido de um jeito: uma ferramenta rodando em lote, gastando chaves privadas pré-computadas offline. O atacante não estava descobrindo as chaves durante o ataque — ele já tinha a lista pronta e estava apenas executando.

A causa raiz: um erro de linking, não de criptografia

Este é o ponto que mais interessa a quem constrói software — e o que torna o caso didático. A matemática do Bitcoin não falhou. A criptografia não foi quebrada. O hardware não tinha defeito. O TRNG (True Random Number Generator) do chip STM32 estava lá, funcionando, presente no binário. Ele simplesmente nunca era chamado.

O que deveria acontecer

O Coldcard tem um gerador de aleatoriedade de hardware próprio. Justamente por isso, a configuração da placa define a macro MICROPY_HW_ENABLE_RNG como zero — a intenção é desligar o caminho de aleatoriedade nativo do MicroPython, porque a Coinkite usa o dela.

O que aconteceu de fato

Na migração de 2021, a biblioteca libngu passou a fornecer a função de aleatoriedade. E o guard que deveria impedir um build errado estava escrito assim:

Em C, #ifndef X pergunta “a macro X existe?”. Ele não pergunta “o valor de X é diferente de zero?” — para isso seria preciso #if !X. Como a macro existia e valia zero, o guard considerou que estava tudo em ordem e o #error nunca disparou.

Aí veio o segundo golpe: as duas funções — a do TRNG de hardware e a do fallback de software — tinham a mesma assinatura, rng_get(). Para o linker, são intercambiáveis. Ele resolveu o símbolo para a versão que estava no submódulo do MicroPython: o Yasmarang, um PRNG determinístico não-criptográfico, usado em MicroPython para coisas como jogos e simulações — nunca para chaves.

Com o que o Yasmarang foi semeado

Se o PRNG fosse semeado com algo imprevisível, o estrago seria pequeno. Não foi o caso. Segundo a análise da Block, o Yasmarang era inicializado uma única vez com três coisas:

• UID do MCU — o identificador fixo do chip. Não é segredo e não muda nunca.
• Contador SysTick — algo entre 80.000 e 120.000 valores possíveis. Isso é menos de 17 bits.
• Registradores de RTC e subsegundo — o relógio do aparelho no momento da geração.

Nenhum desses é fonte criptográfica de entropia. São valores derivados de tempo e de identidade do hardware — parcialmente observáveis, parcialmente adivinháveis, e coletados uma única vez. Um atacante que saiba a marca do aparelho e a janela aproximada em que a carteira foi criada consegue enumerar o espaço inteiro num computador comum.

Quanta entropia sobrou de verdade

Uma seed BIP-39 de 12 palavras deveria carregar 128 bits de entropia. Isso significa 2¹²⁸ possibilidades — um número maior que a quantidade de átomos na Terra, e a razão pela qual ninguém consegue chutar sua seed. Veja o que sobrou:

Repare no salto: de 128 para 40 bits não é uma redução de 69%. É uma redução por um fator de 2⁸⁸ — aproximadamente 300 septilhões de vezes. É a diferença entre “impossível para a humanidade inteira” e “roda num notebook”.

A divergência que você precisa conhecer

Nos modelos mais novos, a Coinkite havia adicionado em 2022 uma mitigação: misturar entropia dos secure elements SE1/SE2 no estado do PRNG. O advisory oficial estima que isso elevou o espaço de busca para ~72 bits — bem abaixo dos 128 esperados, mas ordens de magnitude mais caro de atacar que o Mk3.

A análise independente da Block é mais pessimista, e vale a pena entender por quê. Segundo eles, a implementação do reseed faz o hash de 40 bytes de dados do secure element mas retém apenas quatro bytes, e a função de reseed não aceita o digest completo — ela sobrescreve uma única palavra de 32 bits do estado. Se isso estiver correto, o espaço de busca fica limitado a 2³², com cerca de 2³¹ tentativas em média. Isso é fraco.

Não é só a seed: o alcance real do bug

Um detalhe que passou batido na cobertura de imprensa: a mesma construção de RNG alimentava outras coisas além da seed principal. Segundo a Block, também saíram desse gerador quebrado:

• Chaves privadas de paper wallets geradas no aparelho
• Máscaras de Seed XOR (o esquema de dividir a seed em partes)
• Chaves ECDH de clonagem entre dispositivos
• Segredos do Key Teleport
• Material do Web2FA
• Senhas geradas pelo aparelho

Ou seja: se você usou o Coldcard como “gerador de aleatoriedade confiável” para qualquer outra finalidade nesse período, esse material também precisa ser considerado comprometido. E há um agravante: basta o atacante conhecer a xpub ou um endereço da carteira para enumerar candidatos offline, sem tocar na rede e sem deixar rastro até a hora do saque.

Roubaram Bitcoin. E se eu tenho outros tokens na mesma seed?

Essa é a pergunta mais importante do caso e quase ninguém a fez. A resposta curta: sim, esse dinheiro também está exposto — e ninguém precisa de um segundo ataque para pegá-lo.

O Coldcard é um aparelho exclusivo de Bitcoin. O firmware não assina Ethereum, não assina Solana, não conhece token nenhum. Então, se você só usou o aparelho como ele foi feito para ser usado, o que estava lá era Bitcoin, e foi isso que saiu.

O problema é o que muita gente faz: reaproveitar as mesmas 12 ou 24 palavras em outra carteira. Você anotou a seed do Coldcard e, meses depois, digitou as mesmas palavras no MetaMask, na Trust, na Phantom, no Ledger Live “só para não ter que guardar outro papel”. É comum, parece prático, e neste caso é fatal.

Por que a exposição atravessa qualquer rede

Uma seed BIP-39 não é “a chave do Bitcoin”. Ela é uma chave-mestra, da qual se derivam as chaves de todas as redes, cada uma no seu caminho de derivação padronizado. Bitcoin em m/44'/0', Ethereum em m/44'/60', Solana em m/44'/501', e assim por diante. É por isso que as mesmas palavras “funcionam em qualquer carteira”.

Isso corta para os dois lados. O atacante que quebrou a seed não quebrou a chave do Bitcoin — ele quebrou a raiz. Tendo a raiz, derivar o endereço de Ethereum, de Solana, de Tron ou de qualquer outra rede é uma conta que roda em milissegundos, de graça, offline. Ele não precisa achar nada de novo. Já tem tudo.

O mesmo vale para quem nunca teve um Coldcard

Um detalhe que amplia bastante o público de risco: você não precisa nem ter o aparelho hoje. Se alguém gerou a seed num Coldcard da janela vulnerável e depois migrou aquelas palavras para um app de celular, uma carteira de desktop ou outra hardware wallet, a seed continua fraca. Ela não fica mais forte por mudar de casa. O que importa é onde ela nasceu.

O que fazer se esse é o seu caso

1. Liste tudo que nasceu daquela seed. Toda carteira, em toda rede, onde você um dia digitou essas palavras. Inclua as que você acha que estão vazias — saldo esquecido, NFT, token de airdrop, posição travada em DeFi.
2. Trate todas como comprometidas ao mesmo tempo. Não é “primeiro o Bitcoin, depois o resto quando der”. A raiz é a mesma; a urgência é a mesma.
3. Gere seeds novas e independentes para cada destino, num aparelho ou app com firmware corrigido.
4. Não reutilize seed entre carteiras daqui para frente. Este caso é a demonstração mais cara possível do motivo: uma única falha de entropia, num único fabricante, contamina tudo que compartilha a raiz.

Vale registrar a honestidade da informação: o advisory oficial da Coinkite trata só do Bitcoin gerado no aparelho — ele não discute reuso de seed em outras carteiras, porque isso está fora do produto deles. A conclusão acima é consequência direta de como o padrão BIP-39 funciona, e é por isso que ela não aparece nos comunicados oficiais nem na maior parte da cobertura.

Comprar e vender Bitcoin com suporte humano →

Quem NÃO está em risco

Nem todo dono de Coldcard precisa entrar em pânico. Estas situações protegem:

Por que a passphrase salvou tanta gente

A passphrase BIP-39 (a “13ª palavra”, ou “camada avançada”) não é armazenada no aparelho — ela existe só na sua cabeça. Ela entra como sal na função de derivação, o que significa que o atacante precisa acertar a seed E a passphrase juntas.

Com 94 caracteres imprimíveis possíveis, uma passphrase de 12 caracteres adiciona sozinha cerca de 78 bits ao espaço de busca. Somando aos 40 bits residuais do Mk3, o total volta para a casa dos 118 bits — de novo fora do alcance de qualquer atacante. Uma proteção que não custava nada, e que separou quem perdeu tudo de quem só teve um susto e uma tarde de trabalho.

A diferença entre a falha e a correção

Esta é a parte que todo desenvolvedor deveria ler duas vezes. A correção da Coinkite não mexeu em criptografia — mexeu em como o build se comporta quando alguém erra. E essa mudança de filosofia é a lição inteira do caso.

Colocando em uma frase: a falha era um sistema que ficava calado quando estava errado; a correção é um sistema que se recusa a compilar quando está errado. A pergunta mudou de “o código seguro está aí?” para “o código seguro é o que vai rodar?”.

Por que o code review não pegou isso

Porque não havia nada de errado para ver. Cada arquivo, lido isoladamente, estava correto. A implementação do TRNG estava correta. A configuração da placa estava correta. O guard parecia razoável. O bug não morava em nenhum arquivo — morava na interação entre a macro, o guard e o linker, que é exatamente o tipo de coisa que revisão de código humana não enxerga.

A Coinkite chegou a verificar que o TRNG estava presente no binário compilado. Estava mesmo. O que ninguém testou foi se a função de geração de seed realmente chegava nele.

O que fazer agora: o procedimento oficial

Passo 1 — Mitigação imediata (faça hoje)

Se você tem fundos relevantes numa carteira potencialmente afetada e não pode migrar agora, adicione uma passphrase BIP-39 forte e única no aparelho e mova os fundos para a carteira resultante. Isso é rápido e já tira você da lista de alvos enumeráveis. Não é a solução final, é o extintor.

Passo 2 — Atualize o firmware

Passo 3 — Gere uma seed completamente nova

Só depois do firmware corrigido. E a recomendação da Coinkite é não confiar apenas no RNG do aparelho desta vez — use entropia externa:

• 99 ou mais rolagens de dado (≈256 bits de entropia externa), ou
• Passphrase BIP-39 forte, ou — o ideal — as duas coisas

Passo 4 — Verifique antes de confiar

1. Confira o fingerprint da carteira e um endereço de recebimento depois de um power-cycle do aparelho (desligar e ligar de verdade). Isso confirma que o que você anotou é o que o dispositivo realmente derivou.
2. Envie uma transação pequena de teste e confirme que ela chega.
3. Só então mova o restante dos fundos.

Passo 5 — Considere a carteira antiga queimada

Depois de esvaziar, não reutilize a seed antiga para nada. Nem para “guardar trocado”. Se ela é enumerável, ela é enumerável para sempre, e qualquer satoshi que voltar para lá é presente para quem já tem a lista.

A lição de engenharia que vale para qualquer sistema

Se você constrói qualquer coisa que lide com chaves, tokens, senhas ou dinheiro, o padrão do hotfix da Coinkite merece ser copiado. Não a linha de código específica — o princípio:

Na BitcoinP2P e na DolaRamp, essa é a razão pela qual insistimos em autocustódia bem feita em vez de autocustódia como slogan. Ter a chave na mão só protege se a chave for de verdade aleatória — e isso depende de camadas de engenharia que o usuário final não tem como auditar sozinho. Quem constrói carteira tem a obrigação de olhar para o próprio código com essa pergunta na mão, antes que alguém de fora olhe primeiro.

Comprar Bitcoin e USDT com atendimento humano na BitcoinP2P →

Perguntas Frequentes

Leia também: DolaRamp: a nossa carteira de dólar digital que não precisa de gas