1816 BTC, 5200 endereços, 1,16 bilhão de dólares — como uma vulnerabilidade na carteira de hardware Coldcard se tornou o estopim de uma “crise de confiança” no mercado cripto?
Em 4 de agosto, a Galaxy Research confirmou que a sequência de roubos causada pela vulnerabilidade da Coldcard já entrou na quarta onda. Em cada onda, 449 BTC foram transferidos; foram 709 endereços atingidos; no total, 1816 BTC e mais de 5200 endereços foram comprometidos, e 1,16 bilhão de dólares se evaporaram.
Essa história começa com um pedaço de código.
Em março de 2021, a Coinkite lançou uma atualização de firmware. Em uma configuração equivocada, uma linha de erro aparentemente simples fez com que, durante a geração das frases-mnemônicas, o dispositivo pulasse o número aleatório do hardware, voltando para uma solução baseada em software construída sobre número de série e relógio. A entropia original de 128 bits caiu, no Mk3, para 40 bits: 4 bilhões de combinações. Você consegue imaginar? A dificuldade de quebra por força bruta, que era “impossível até para a morte térmica do universo”, despenca de uma hora para outra para “rodar um pouco em GPU e ter resultado”. O cadeado é de aço, mas o miolo do cadeado é de barro.
O mais surreal vem depois — esta “bomba-relógio” escondida no repositório open source ficou latente por exatos 5 anos, até que alguém rodasse o código com ajuda de IA.
O Claude Code, da Anthropic, em 8 minutos.
Antes disso, os engenheiros da Coinkite já fizeram revisões manuais várias vezes e até usaram IA para auditoria, mas nenhum problema foi detectado.
A Boltz interrompeu o serviço diretamente. Em uma plataforma de câmbio não custodial — em teoria, sem custodiar fundos — o que deveria ser mais seguro acabou sendo derrubado por ataques assistidos continuamente por IA. Não foi uma vez ou duas, foi um ataque contínuo. A velocidade de iteração do atacante já é tão alta que “pausar as operações da plataforma” virou a escolha mais racional.
Quando o método de armazenamento considerado mais seguro também apresenta uma falha sistêmica, surge a pergunta existencial: para onde colocar os ativos? A bolsa? Não dá confiança. A carteira de hardware? Também não. Protocolos descentralizados? A IA está quebrando-os em unidades de meses. A confiança: quando cai, não se consegue levantar. As 1816 BTC cavadas não levaram apenas a reputação de um produto; elas abalaram aquela camada fina de segurança da qual toda a indústria depende para sobreviver.
#Coldcard事件损失超1亿美元
Em 4 de agosto, a Galaxy Research confirmou que a sequência de roubos causada pela vulnerabilidade da Coldcard já entrou na quarta onda. Em cada onda, 449 BTC foram transferidos; foram 709 endereços atingidos; no total, 1816 BTC e mais de 5200 endereços foram comprometidos, e 1,16 bilhão de dólares se evaporaram.
Essa história começa com um pedaço de código.
Em março de 2021, a Coinkite lançou uma atualização de firmware. Em uma configuração equivocada, uma linha de erro aparentemente simples fez com que, durante a geração das frases-mnemônicas, o dispositivo pulasse o número aleatório do hardware, voltando para uma solução baseada em software construída sobre número de série e relógio. A entropia original de 128 bits caiu, no Mk3, para 40 bits: 4 bilhões de combinações. Você consegue imaginar? A dificuldade de quebra por força bruta, que era “impossível até para a morte térmica do universo”, despenca de uma hora para outra para “rodar um pouco em GPU e ter resultado”. O cadeado é de aço, mas o miolo do cadeado é de barro.
O mais surreal vem depois — esta “bomba-relógio” escondida no repositório open source ficou latente por exatos 5 anos, até que alguém rodasse o código com ajuda de IA.
O Claude Code, da Anthropic, em 8 minutos.
Antes disso, os engenheiros da Coinkite já fizeram revisões manuais várias vezes e até usaram IA para auditoria, mas nenhum problema foi detectado.
A Boltz interrompeu o serviço diretamente. Em uma plataforma de câmbio não custodial — em teoria, sem custodiar fundos — o que deveria ser mais seguro acabou sendo derrubado por ataques assistidos continuamente por IA. Não foi uma vez ou duas, foi um ataque contínuo. A velocidade de iteração do atacante já é tão alta que “pausar as operações da plataforma” virou a escolha mais racional.
Quando o método de armazenamento considerado mais seguro também apresenta uma falha sistêmica, surge a pergunta existencial: para onde colocar os ativos? A bolsa? Não dá confiança. A carteira de hardware? Também não. Protocolos descentralizados? A IA está quebrando-os em unidades de meses. A confiança: quando cai, não se consegue levantar. As 1816 BTC cavadas não levaram apenas a reputação de um produto; elas abalaram aquela camada fina de segurança da qual toda a indústria depende para sobreviver.
#Coldcard事件损失超1亿美元