O investigador de blockchain ZachXBT afirma que não tem planos de rastrear o hack da Coldcard, no valor de US$ 88,6 milhões, e disse aos seguidores que a comunidade do Bitcoin lhe ofereceu pouco apoio em troca do trabalho que realizou nos últimos anos.
ZachXBT se recusa a rastrear o hack da Coldcard, no valor de US$ 88 milhões
ESCRITO POR
PARTILHAR
Pontos principais
- ZachXBT se recusou a rastrear o ataque à Coldcard, citando o fraco apoio dos detentores de bitcoin.
- A violação da Coldcard pela Coinkite drenou 1.367 BTC de 4.585 endereços desde 30 de julho de 2026.
- A Galaxy Research continua rastreando os fundos roubados, enquanto a política de retenção de e-mails da Coinkite gera novas críticas.
ZachXBT afirma ter “menos obrigação” de ajudar
O prolífico investigador on-chain, conhecido por desmascarar os hackers por trás de alguns dos maiores roubos do mundo das criptomoedas, postou no X que não tem planos atuais de monitorar ou rastrear o incidente com a Coldcard. Ele disse que dedica seu tempo a ecossistemas que valorizam seu trabalho, acrescentando que os maximalistas do Bitcoin não são doadores nem apoiadores de suas investigações, portanto, ele tem menos obrigação de ajudar.
A declaração foi feita enquanto a violação da Coldcard entrava em seu quinto dia e o total acumulado continuava subindo. ZachXBT já trabalhou pro bono em casos importantes, e sua postagem sugere que há uma grande discrepância entre a boa vontade que a comunidade do Bitcoin tem demonstrado por ele e o esforço que lhe é exigido quando as coisas dão errado.
A violação da Coldcard até o momento
A vulnerabilidade remonta a uma falha no firmware das carteiras de hardware fabricadas pela empresa canadense Coinkite. O bug afetou dispositivos Coldcard Mk3 que rodavam as versões 4.0.1 a 4.1.9, fazendo com que algumas carteiras gerassem entropia de semente por meio de um gerador de números aleatórios de software, em vez do chip dedicado do hardware — um defeito que tornava certas sementes previsíveis.
A primeira onda ocorreu em 30 de julho, quando cerca de 594 BTC, no valor de aproximadamente US$ 38 milhões na época, foram drenados de quase 500 endereços inativos em menos de 30 minutos. A Coinkite lançou um firmware corrigido em dois dias, mas os danos continuaram se espalhando e, em 2 de agosto, a Galaxy Research havia registrado um total acumulado de 1.367 BTC, no valor de US$ 88,6 milhões, retirados de 4.585 endereços em três ondas de ataque distintas.
O ritmo e a precisão dos roubos alimentaram especulações de que ferramentas automatizadas, possivelmente auxiliadas por IA, ajudaram o invasor a identificar e drenar endereços vulneráveis em questão de minutos a cada onda de ataque. O roubo continuou a crescer exponencialmente, mesmo com o aumento repentino dos depósitos nas corretoras provenientes dos fundos roubados e com o retorno à circulação de BTCs mais antigos, anteriormente inativos, ligados ao caso.
A retenção de dados agrava a reação negativa
A forma como a Coinkite lidou com as consequências tornou-se uma controvérsia por si só, já que a empresa enviou e-mails para todos os endereços de clientes que conseguiu localizar em seus registros da loja e da newsletter — alguns datando de 2019 — para alertá-los sobre a falha.
Isso contradizia as afirmações anteriores do CEO Rodolfo Novak de que a Coinkite apagava os dados dos clientes 90 dias após a compra e oferecia opções de compra anônimas. Posteriormente, a Coinkite admitiu que retém os endereços de e-mail de compra por tempo indeterminado e reconheceu que não possui uma política de exclusão para esses dados — uma revelação que gerou uma onda de críticas à parte, independente do próprio ataque.
Novak defendeu o histórico geral de segurança da empresa, observando que os concorrentes enfrentam violações regularmente e que a Coinkite leva o assunto extremamente a sério. Ainda assim, o episódio já começou a minar a confiança na autocustódia e pode levar investidores mais cautelosos a voltarem-se para fundos negociados em bolsa, em vez de gerenciar suas próprias chaves.
A saga também se transformou em um drama na blockchain, indo além do próprio roubo. Uma oferta descarada de lavagem de bitcoins dirigida ao hacker foi publicada diretamente na blockchain do Bitcoin, transformando o caso em um espetáculo público que se desenrola em tempo real nas redes sociais e nos dados da blockchain.
Com pesos pesados como ZachXBT se afastando, o fardo de rastrear os 1.367 BTC roubados recai agora com mais força sobre empresas como a Galaxy Research, que vem publicando atualizações em etapas à medida que a atividade da carteira do invasor evolui. Surgiram relatos de que o bug de entropia que afeta os dispositivos Coldcard Mk3 remonta a uma versão de firmware de março de 2021, o que significa que qualquer semente de carteira gerada nessa versão ao longo de mais de quatro anos ainda pode estar exposta até que os proprietários mudem para uma semente nova no firmware corrigido.
Este artigo foi traduzido do inglês usando IA. A versão original em inglês é a fonte autorizada; traduções automáticas podem conter imprecisões, especialmente em terminologia jurídica e regulatória.
