A Coinkite alerta os proprietários do Coldcard Mk3 após relatos de perda de US$ 38 milhões em bitcoins

Incidentes envolvendo carteiras de hardware raramente ocorrem como eventos isolados. Quando endereços há muito inativos começam a se movimentar em um padrão rigidamente coordenado, o próprio momento já justifica uma análise minuciosa. Esse foi o caso em 30 de julho de 2026, quando supostos 594 BTC, no valor de cerca de US$ 38 milhões, foram transferidos de aproximadamente 500 endereços de assinatura única em cerca de 25 minutos.

Muitas dessas carteiras permaneciam inativas há anos, com saldos que variavam normalmente entre 0,15 e 0,26 BTC. Até o momento da redação deste artigo, apesar das discussões generalizadas na internet, a empresa não confirmou se a transferência de quase 600 BTC está diretamente relacionada ao comunicado de segurança da Coldcard.

O que a Coinkite diz

O CEO da Coinkite, Rodolfo Novak, conhecido no setor como NVK, disse que a empresa está tratando os relatos com urgência. “Estamos todos em ação, analisando tudo a fundo; em breve publicaremos um post técnico”, disse Novak no X. Ele acrescentou que os canais de comunicação da empresa foram “bombardeados” com perguntas após os relatos. Em uma atualização separada, Novak enfatizou: “Fizemos muitas investigações sobre os relatos da COLDCARD; uma postagem no blog está a caminho.”

A postagem do blog com o comunicado de segurança da empresa cita uma gama específica de dispositivos afetados. Qualquer pessoa que tenha gerado uma semente em um Mk3 com a versão de firmware 4.0.1, lançada em março de 2021, até a versão 5.0.3 — a versão final compatível com o Mk3 —, pode estar afetada. A Coinkite explicou que sua análise preliminar indica que os modelos Mk4, Q e Mk5 não foram afetados.

A Coinkite descreveu o comunicado como um reflexo das conclusões iniciais e afirmou que uma análise técnica formal será realizada à medida que a investigação prosseguir. Pesquisadores da comunidade vêm analisando a atividade na blockchain relacionada aos relatos. A discussão tem se concentrado na possibilidade de aleatoriedade fraca na geração de sementes em certas versões mais antigas do firmware do Mk2 e do Mk3, em vez de um comprometimento da cadeia de suprimentos. Até o momento da publicação, a Coinkite não confirmou a causa raiz.

Usuários de senha de segurança enfrentam risco menor

De acordo com o comunicado, carteiras protegidas por uma senha de segurança BIP-39 — uma frase adicionada pelo usuário, distinta do PIN do dispositivo — parecem apresentar risco mínimo, segundo a análise preliminar da Coinkite. A empresa recomendou que os usuários de senha de segurança continuem protegendo essa frase e evitem digitá-la em dispositivos ou sites não confiáveis.

Para os proprietários do Mk3 que não usavam uma senha de segurança, a Coinkite recomendou a migração para uma nova semente gerada em um dispositivo não afetado. A empresa afirmou que o processo não deve ser apressado. Ela recomendou enviar primeiro uma pequena transação de teste, verificar a nova carteira e o endereço de recebimento na tela do dispositivo e manter o backup antigo até que a migração seja confirmada.

Opções provisórias

A Coinkite delineou duas etapas provisórias para proprietários cujo Mk3 seja seu único dispositivo:

• Adicionar uma senha BIP-39 forte e exclusiva e transferir os fundos para a carteira recém-protegida.
• Gerar uma semente substituta usando o caminho de importação por lançamento de dados do Mk3, que não depende do gerador de números aleatórios do dispositivo, embora a Coinkite tenha descrito isso como um procedimento avançado que requer verificação cuidadosa.

A Coinkite publicou as etapas técnicas completas em seu comunicado, disponível no blog da empresa. A empresa explicou que sua investigação está em andamento e que mais detalhes serão divulgados em breve. A Coldcard construiu uma reputação como uma opção de carteira de hardware focada em segurança e com isolamento físico desde seu lançamento, e os relatos chamaram ampla atenção em toda a comunidade Bitcoin, à medida que os proprietários avaliam seus próprios dispositivos.