Na madrugada de 4 de agosto de 2026, horário de Pequim, o “topo d’água” do mercado cripto de repente foi tomado por uma estranha onda de ondulações.
Um endereço de Bitcoin que esteve como morto desde 2013: 18TExP, de repente voltou a se mexer. 500 bitcoins (no valor de cerca de 31,3 milhões de dólares) foram transferidos no instante em que o bloco foi confirmado. Esta carteira permaneceu em silêncio por exatamente 12 anos e 8 meses — até mais antiga do que o surgimento do Ethereum.
Enquanto o público especulava se seria a reaparição do próprio “Satoshi Nakamoto”, surgiu um pano de fundo ainda mais arrepiante: a “fortaleza” das carteiras de hardware para Bitcoin — a Coldcard — acabou de ser exposta por apresentar uma falha de segurança fatal, e BTC avaliado em mais de cem milhões de dólares está sendo roubado.
O processo de descoberta dessa vulnerabilidade também mostra o poder e as ameaças da IA. Depois que a equipe da Coldcard publicou um comunicado de segurança no fim de julho, alguém entregou o código-fonte a um modelo de IA, o Claude Code, para revisão. Resultado: a IA levou apenas 8 minutos para localizar com precisão a linha de código que causou a falha na aleatoriedade.
A baleia-ancestral ressurgiu e, ao mesmo tempo, a carteira Coldcard teve uma falha fatal — foi apenas uma coincidência dessa “grande migração”, ou uma caçada precisa à baleia-ancestral?
Hoje, não vamos falar de coisas abstratas. Com as palavras mais simples possíveis, vamos desmembrar a guerra técnica em segredo por trás do “grande terremoto” no mundo das criptos.
Falha da Coldcard: por que a fortaleza “invulnerável” desabou?
Para os geeks do mercado de cripto, a Coldcard sempre foi sinônimo de “segurança hardcore”. Seu maior diferencial é “gerar chaves privadas completamente offline”. Em teoria, desde que não conecte na internet, nem mesmo “um ser sobrenatural” conseguiria roubar suas moedas.
Mas desta vez, o hacker não foi roubar seu computador; eles simplesmente “adivinharam” sua chave privada.
Qual é a essência de uma chave privada? É uma sequência extremamente grande de números aleatórios. Gerar uma chave privada é como embaralhar um baralho: quanto mais embaralhado, maior a aleatoriedade e mais difícil para os outros adivinharem.
Nesta vez, a Coldcard cometeu um dos erros mais clássicos e básicos de um programador: “entropia insuficiente na geração de números pseudo-aleatórios (PRNG)”.
Em uma atualização de firmware de março de 2021, a equipe da Coldcard introduziu um bug. Isso fez com que, ao gerar chaves privadas em alguns modelos (como Mk2 e Mk3), a aleatoriedade ficasse reduzida a aproximadamente 40 bits.
Os números mostram o quão absurdo isso é: o nível de segurança das chaves privadas do Bitcoin é de 128 bits. Isso significa que, para um hacker quebrar por força bruta, ele teria que tentar 2^128 vezes — um número maior que o de átomos do universo.
Mas, quando o valor de entropia cai para 40 bits, o número de combinações possíveis diminui instantaneamente para cerca de 1 trilhão (2^40).
1 trilhão parece muito? Para computadores comuns, isso realmente é um número astronômico. Mas, para grupos de hackers com grande poder de computação, ou equipes com clusters de GPUs profissionais, quebrar por força bruta essas 1 trilhão combinações leva apenas alguns dias — ou até algumas horas!
Isso é como trocar a senha do seu cofre de “senha de 8 dígitos” para “senha de 4 dígitos”; na frente de profissionais, esse cofre vira praticamente inútil.
Cold wallet é realmente seguro? A segurança de ativos cripto está entrando em uma nova fase
Nos últimos anos, com frequência ocorreram falências de exchanges, fugas e congelamentos de saques. Nesse contexto, “não colocar moedas na exchange” virou consenso na indústria cripto. Cada vez mais detentores de Bitcoin de longo prazo escolhem: carteira de hardware, cold wallet e carteiras multiassinatura.
Porque se acredita que sejam a forma mais segura de proteger BTC. No entanto, o incidente de segurança com a carteira de hardware Coldcard volta a lembrar o mercado: cold wallets não são segurança absoluta. O que realmente protege os ativos não é “o próprio dispositivo”, e sim um sistema de segurança completo, formado desde a geração aleatória, passando pelo gerenciamento de chaves privadas, até os mecanismos de backup.
Qual é a lógica de segurança de uma carteira de hardware? Por exemplo, na Coinkite, a Coldcard é essencialmente um dispositivo de “geração e assinatura de chaves privadas offline”. Fluxo normal: o dispositivo gera um número aleatório → gera 12/24 palavras-semente → as palavras-semente geram chaves privadas → as chaves privadas controlam endereços de BTC → o usuário salva offline.
Em teoria, a força bruta é quase impossível. Mesmo que o dispositivo se perca, desde que a palavra-semente esteja segura, o ativo ainda estará protegido. Por isso, muitos detentores de Bitcoin de longo prazo escolhem carteiras de hardware.
Esta vulnerabilidade não foi uma invasão de hackers na Coldcard nem um controle remoto do hacker sobre a carteira, nem mesmo vazamento das palavras-semente do usuário. Em vez disso, algumas versões da Coldcard, ao gerar palavras-semente, não usaram uma fonte de aleatoriedade suficientemente forte.
Como dito acima, durante todo o processo o atacante só precisa calcular as palavras-semente dentro do conjunto finito de possibilidades, gerar as chaves privadas, descobrir os endereços de BTC correspondentes e transferir os fundos. Ele não precisa sequer tocar no dispositivo do usuário.
De acordo com dados públicos atuais: na primeira rodada de ataques, cerca de 1.196 endereços foram roubados, totalizando aproximadamente 1.082 BTC. Em seguida, perdas acumuladas em múltiplos lotes aumentaram. Conforme rastreamento de instituições como a Galaxy Research, até o início de agosto: as perdas confirmadas ultrapassaram US$ 130 milhões, afetando mais de 7.300 carteiras, e o grupo de ataque tinha pelo menos 15 organizações de hackers independentes explorando a vulnerabilidade para “pescar”.
O maior significado do caso da Coldcard não é provar: “cold wallet não é seguro”. É alertar: a segurança de ativos cripto está entrando na era de “gerenciar riscos”, saindo da fase de apenas “guardar chaves privadas”.
500 BTC do “18TExP” adormecidos por 12 anos: por que isso chamou atenção?
O motivo foi principalmente a coincidência do tempo: antes, o caso da vulnerabilidade da Coldcard foi divulgado. Depois disso, muitos usuários começaram a verificar a segurança das suas cold wallets. Então surgiram suposições: será que essa carteira ancestral migrou os ativos mais cedo por receio de problemas de segurança?
Mas, no momento, não há evidências de que haja relação entre os dois. O motivo é simples: em 2013 a Coldcard nem tinha sido criada, então esse endereço jamais poderia ter sido gerado pela Coldcard inicialmente.
Uma explicação mais plausível é que as baleias agiram com defesa proativa em resposta às preocupações de segurança causadas pelo incidente da vulnerabilidade da Coldcard: trocando de carteira, atualizando a solução de segurança, replanejando a gestão de ativos. Claro, também pode ser que detentores de longo prazo tenham vendido ou feito transações OTC. 500 BTC não é pouco para mineradores e investidores da fase inicial.
Não é um caso isolado. Os dados mostram que, após a divulgação da falha da Coldcard, a atividade das “moedas antigas” do ecossistema, que estavam adormecidas por 7–10 anos, disparou. Nos bastidores, uma “grande caçada” silenciosa está acontecendo.
Guia “de sobrevivência” para todos os detentores de moedas
Evento de vulnerabilidade da Coldcard: nos conta uma coisa muito importante: não existe segurança absoluta para proteger ativos.
Antes, só perguntávamos “deixo na exchange ou no cold wallet?”. Agora é preciso evoluir para “como projetar um sistema completo de segurança de ativos”. Porque qualquer elo da cadeia de segurança — firmware, geração de números aleatórios, cadeia de suprimentos, hábitos de backup, ambiente de uso — pode falhar.
Para usuários comuns, uma carteira de hardware pode ser suficiente, mas grandes quantidades de BTC não deveriam depender de segurança de um único ponto. O risco do modelo de uma única carteira está cada vez maior. Uma solução mais madura é estabelecer camadas de proteção: primeira camada — carteira de hardware; segunda camada — backup independente; terceira camada — carteira multiassinatura; quarta camada — dispersar os ativos.
Por exemplo: não é “1 carteira, 1000 BTC, 1 palavra-semente”; o correto seria: “10 carteiras, 1000 BTC, 10 palavras-semente”.
Para ativos de grande porte, considere multiassinatura, por exemplo 2/3: três dispositivos — um em casa, um em cofre do banco e um com parente de confiança. São necessárias duas assinaturas para transferir. Assim, mesmo se um dispositivo vazar, os ativos permanecem seguros.
Por fim, se você ou um amigo estiver usando a Coldcard, ou qualquer carteira de hardware, lembre-se: “migrar” é mais importante do que “atualizar”. Apenas atualizar o firmware da Coldcard não consegue corrigir as chaves privadas antigas já geradas. Você precisa transferir seus ativos imediatamente para um endereço recém-gerado e esse novo endereço deve ser gerado por uma versão de firmware que tenha corrigido a vulnerabilidade.
Vá verificar os modelos. Os modelos da Coldcard principalmente afetados são: Coldcard Mk2, Mk3, Mk4 e Q. Se você usa qualquer um desses e a criação foi entre 2021 e 2023, por padrão você já está exposto ao risco.
Se você tem uma carteira criada entre 2013 e 2016, mesmo que não seja Coldcard, esse episódio de “migração das baleias” é um alerta: formatos de endereço antigos e algoritmos de geração sempre foram “alimento” para hackers. Migrar de forma proativa é assumir responsabilidade pelo seu patrimônio.
O incidente da Coldcard não derruba o valor das carteiras de hardware. Ao contrário: ele mostra que as carteiras de hardware ainda são uma ferramenta importante para proteger Bitcoin. Mas qualquer ferramenta de segurança não é segurança absoluta.
Se você não tem certeza se a sua carteira ou plataforma de transações tem riscos, pode usar plataformas de consulta de terceiros compatíveis, como a WikiBit, para ajudar na avaliação. Claro: qualquer ferramenta de terceiros é apenas referência. A barreira final de segurança fica sempre sob o seu próprio sistema de gerenciamento de chaves privadas.
Seja usando exchange, carteira de software ou carteira de hardware, o primeiro princípio de segurança de ativos cripto é: não colocar todo o seu patrimônio em uma única plataforma, em um único dispositivo, ou em um único sistema de chaves. Dispersar risco é mais importante do que buscar a chamada “segurança absoluta”.
Conclusão
O “despertar” do “18TExP” talvez tenha sido apenas uma operação rotineira de algum veterano muito antigo. A vulnerabilidade da Coldcard talvez seja apenas um “buraco” no caminho da evolução tecnológica.
Mas, quando essas duas coisas se sobrepõem, elas nos revelam uma realidade fria: no mundo cripto, sensação de segurança é um luxo. Carteiras de hardware não são um ponto final, e nem o código é segurança absoluta. A segurança real vem do respeito pela lógica subjacente e de uma vigilância que nunca relaxa.
Aquela carteira ficou adormecida por 12 anos não porque era segura, mas porque nunca foi descoberta. No momento em que ela despertou, talvez a crise só estivesse começando.