Falha de firmware da Coldcard: roubo de 100M+ BTC confirmado, possível 4ª onda

O Galaxy Research afirma que falhas no firmware da Coldcard associadas a roubos já estão confirmadas em 1.596 BTC (cerca de US$ 100M+) roubados de aproximadamente 7.300 endereços em três grandes ondas de ataque e 14 incidentes menores. Uma suposta quarta onda é possível com confiança de nível médio-alto, o que poderia elevar as perdas totais para 2.055 BTC (cerca de US$ 130M). A Galaxy manteve a quarta onda fora dos totais “confirmados” porque as vítimas ainda não deram retorno; até agora, 73 vítimas entraram em contato com a empresa e ajudaram a verificar as três primeiras ondas. Na cadeia, cerca de 90% dos bitcoins roubados não se moveram. Endereços de atacante e de vítima foram compartilhados com autoridades federais dos EUA, exchanges e investigadores de cibersegurança, enquanto varreduras são descritas como em andamento. A Galaxy relaciona o incidente a um erro de compilação do firmware da Coldcard de março de 2021: uma configuração ignorou o gerador de números aleatórios do hardware do dispositivo, e a geração de chaves caiu para um substituto de software semeado com dados de serial do chip e do temporizador. Um firmware corrigido foi enviado em 31 de julho, mas não pode corrigir seeds que já haviam sido gerados com a configuração vulnerável. Para traders, o impacto imediato no mercado de BTC provavelmente é limitado, mas manchetes sobre a falha no firmware da Coldcard podem afetar temporariamente o apetite por risco em relação à autocustódia. No longo prazo, a implicação é um foco maior em segurança operacional, especialmente para usuários que adiaram as atualizações do firmware da Coldcard depois que a vulnerabilidade surgiu.