Relatos apontam transferências de 594 bitcoins de cerca de 500 carteiras físicas; fabricante orientou usuários a atualizar o software dos dispositivos.
Um suposto ataque à Coldcard teria resultado no desvio de aproximadamente US$ 38 milhões em Bitcoin nesta sexta-feira, 31 de julho de 2026. Segundo as informações apresentadas, criminosos transferiram 594 bitcoins de cerca de 500 carteiras para um único endereço digital identificado pelo início bc1qnk.
O caso chamou atenção porque a Coldcard funciona como uma carteira física de autocustódia. Em geral, esse tipo de dispositivo mantém as chaves privadas fora da internet e reduz a exposição a ataques remotos. Por isso, uma eventual falha capaz de comprometer várias unidades representaria um episódio incomum e relevante para o mercado de criptomoedas.
Até o momento, porém, as informações fornecidas não esclarecem como os criminosos teriam obtido acesso aos fundos. Também não há confirmação independente, no material apresentado, de que o ataque comprometeu diretamente o hardware da Coldcard. Portanto, ainda não se pode descartar falhas de software, uso de versões vulneráveis, comprometimento da cadeia de fornecimento ou exposição das frases de recuperação.
O que se sabe sobre o suposto ataque à Coldcard
A empresa de análise de blockchain Lookonchain teria identificado a movimentação dos fundos. Segundo o levantamento citado, aproximadamente 500 carteiras enviaram bitcoins para o mesmo endereço, que teria concentrado 594 unidades da criptomoeda.
Em seguida, usuários e especialistas passaram a discutir o caso em redes sociais e fóruns dedicados ao Bitcoin. Muitos classificaram o episódio como um possível marco negativo para a autocustódia. Além disso, parte da comunidade comparou o impacto do ataque ao colapso da corretora FTX, ocorrido em 2022.
No entanto, a comparação exige cautela. A FTX controlava os recursos dos clientes como intermediária, enquanto a Coldcard apenas fornece um dispositivo para armazenamento das chaves privadas. Dessa forma, a origem técnica da falha será essencial para determinar se o problema estava no equipamento, no software, na configuração dos usuários ou em outro ponto da operação.
O que é a Coldcard e como funciona a autocustódia
A Coldcard é uma carteira física desenvolvida especificamente para Bitcoin. O dispositivo permite que o usuário armazene e utilize suas chaves privadas sem depender de uma corretora ou de uma conta mantida por terceiros.
Na autocustódia, o investidor recebe uma sequência de 12 ou 24 palavras, conhecida como frase de recuperação. Essa combinação permite restaurar o acesso aos bitcoins caso o aparelho seja perdido ou danificado. Por outro lado, qualquer pessoa que obtenha essas palavras pode controlar os recursos.
Por isso, a segurança depende de vários fatores. O usuário precisa proteger a frase de recuperação, verificar a origem do dispositivo, instalar atualizações confiáveis e evitar computadores comprometidos. Além disso, deve conferir os endereços e as informações exibidas na tela física antes de autorizar uma transação.
Embora carteiras sem conexão direta com a internet reduzam determinados riscos, elas não eliminam todas as possibilidades de ataque. Softwares maliciosos, atualizações falsas, falhas na geração das chaves e adulterações durante o transporte ainda podem comprometer a segurança.
Coinkite orienta clientes a atualizar dispositivos
A Coldcard surgiu em 2017 e pertence à Coinkite, empresa fundada por Peter Gray e Rodolfo Novak. Após os relatos do ataque, a companhia teria enviado uma orientação de segurança aos clientes.
Segundo o comunicado citado, usuários dos modelos Mk4 e Mk5 devem atualizar o software para a versão 5.6.0 ou superior. Já os proprietários do modelo Mk3 precisam instalar a versão 4.2.0 ou mais recente.
“Não crie uma nova chave de acesso em nenhum desses modelos até que a atualização esteja instalada”, alertou a empresa, conforme o texto apresentado.
A orientação sugere que a companhia identificou um risco relacionado ao software ou ao processo de geração de novas chaves. Ainda assim, o material não informa se a Coinkite confirmou a exploração de uma vulnerabilidade específica ou se adotou apenas uma medida preventiva.
Atualização pode indicar possível falha de segurança
O pedido para não gerar novas chaves antes da atualização representa um dos pontos mais importantes do caso. Caso o problema esteja nessa etapa, usuários que criaram carteiras em versões antigas podem precisar de novas instruções da fabricante.
No entanto, instalar uma atualização não recupera fundos que já foram transferidos. As transações de Bitcoin são irreversíveis depois que a rede as confirma. Portanto, as vítimas dependeriam da identificação dos responsáveis, do rastreamento dos recursos e de uma eventual ação das autoridades.
Além disso, usuários devem baixar qualquer atualização apenas pelos canais oficiais da Coinkite. Criminosos costumam aproveitar incidentes de grande repercussão para distribuir arquivos falsos, páginas fraudulentas e supostos aplicativos de recuperação.
Ataque provoca preocupação entre usuários de Bitcoin
A autocustódia ocupa um papel central na cultura do Bitcoin. A ideia principal afirma que o investidor só controla verdadeiramente os ativos quando mantém suas próprias chaves privadas.
Por isso, relatos de perdas envolvendo carteiras físicas afetam diretamente a confiança da comunidade. Em fóruns como o Reddit, usuários demonstraram frustração e disseram que seguiram recomendações de segurança sem conseguir impedir o suposto roubo.
Mesmo assim, ainda é cedo para concluir que todo o modelo de autocustódia falhou. Primeiro, investigadores precisam descobrir como os criminosos acessaram as chaves. Depois, será possível avaliar se o problema atingiu o produto de forma ampla ou apenas determinadas versões e configurações.
O que usuários da Coldcard devem fazer
Clientes da Coldcard devem interromper a criação de novas carteiras nos modelos afetados até instalar a versão recomendada pela fabricante. Além disso, precisam conferir o endereço oficial da empresa antes de baixar qualquer arquivo.
Usuários também devem acompanhar os saldos e o histórico das carteiras. Caso encontrem movimentações não autorizadas, devem registrar os endereços, os identificadores das transações e os horários. Essas informações podem ajudar empresas de análise de blockchain e autoridades.
No entanto, ninguém deve compartilhar a frase de recuperação com supostos atendentes. Empresas legítimas não precisam das 12 ou 24 palavras para oferecer suporte. Da mesma forma, sites que prometem recuperar bitcoins mediante o fornecimento da frase provavelmente fazem parte de novos golpes.
Quem criou uma carteira em uma versão apontada como vulnerável pode precisar transferir os fundos para uma nova chave gerada em um ambiente seguro. Contudo, essa decisão deve seguir as instruções oficiais da Coinkite, porque uma movimentação precipitada também pode aumentar o risco.
Caso pode mudar práticas de segurança no setor
O suposto ataque à Coldcard poderá pressionar fabricantes de carteiras físicas a ampliar auditorias, transparência e testes independentes. Além disso, empresas podem reforçar controles sobre atualizações, geração de chaves e cadeia de fornecimento.
O episódio também mostra que a expressão “carteira offline” não significa segurança absoluta. Embora o dispositivo permaneça desconectado, o usuário ainda depende de software, processos de fabricação e procedimentos corretos.
Por fim, a dimensão real do caso dependerá da confirmação técnica da Coinkite e de análises independentes das transações. Enquanto essas informações não aparecem, usuários devem atualizar os dispositivos, evitar links desconhecidos e tratar com cautela qualquer afirmação definitiva sobre a origem do ataque.
