Falha na geração de sementes da Coldcard: mais de US$ 100 milhões em BTC roubados de milhares de carteiras

O bug na geração de seed da Coldcard ficou sem ser notado por anos, mesmo com os usuários podendo inspecionar o firmware público. Pesquisas posteriores atribuíram o problema a uma alteração no firmware de março de 2021 (v4.0.0) que usou um gerador de aleatoriedade mais fraco durante a criação da frase-semente, em vez da fonte dedicada de entropia de hardware pretendida. Investigadores relatam roubos de cerca de 1.596–1.816 BTC (mais de US$ 100 milhões) de aproximadamente 5.200–7.300 endereços. A Coinkite afirma que alguns modelos afetados tinham ~72 bits de entropia estimados, em vez dos 128 bits pretendidos, diminuindo drasticamente o espaço de busca da seed. A equipe de segurança da Block afirma que o caminho de aleatoriedade afetado não entregou aleatoriedade segura. A Coinkite lançou firmware corrigido para os modelos Coldcard afetados, mas a atualização não “faz upgrade” das frases de recuperação existentes. Usuários afetados precisam instalar o patch, gerar uma seed totalmente nova e mover os fundos para endereços derivados da seed corrigida. James O’Beirne apontou o problema de aleatoriedade após uma auditoria em maio de 2025, rastreando-o até o libngu. Para traders, a falha na geração da seed da Coldcard reforça o risco de contraparte/fabricante na autocustódia na etapa de criação das chaves. É um impacto reputacional e operacional na confiança em carteiras de hardware, mas o evento é improvável de mudar os fundamentos centrais do BTC.