A explicação do hack da carteira Coldcard da Coinkite

O que é um hack da carteira Coldcard?

As cold wallets são frequentemente vistas como uma das formas mais seguras de guardar bitcoin. Ainda assim, esta semana correu muito mal para a Coldcard, a carteira de hardware da Coinkite. Devido a um erro antigo no firmware, algumas frases de recuperação eram menos aleatórias do que se pensava, o que permitiu aos hackers quebrar remotamente as carteiras associadas. No total, estima-se que tenham sido roubados 1.816 BTC, com um valor de cerca de 116 milhões de dólares no momento da redação.

Neste caso, um hack da carteira Coldcard diz sobretudo respeito a uma recovery seed gerada de forma fraca, e não a um atacante que simplesmente consegue pôr as mãos na sua Coldcard física (carteira de hardware).

A Coldcard é uma carteira de hardware apenas para Bitcoin da empresa de criptomoedas Coinkite. Uma carteira de hardware deste tipo guarda as suas chaves privadas offline e usa-as para assinar transações de Bitcoin.

No incidente de segurança de 2026, verificou-se que determinadas versões de firmware podiam criar uma seed com pouca aleatoriedade. Essa aleatoriedade chama-se entropia. Em termos simples: quanto maior for a entropia, maior é o número de seeds possíveis e mais difícil é adivinhar ou reproduzir a sua seed.

Se alguém conseguir reconstruir uma seed fraca, também pode inferir daí as chaves privadas. Em seguida, o atacante pode restaurar a carteira noutro sistema e enviar Bitcoin. Para isso, não são necessariamente necessárias a sua Coldcard, o seu PIN ou as suas recovery words. Ou seja, mesmo as pessoas que tinham a sua carteira de hardware guardada num cofre físico não estavam seguras. Uma carteira pode sempre ser acedida digitalmente se alguém tiver a sua seedphrase e as suas chaves privadas.

O termo ‘hack’ é, na verdade, um pouco amplo neste caso. Tratou-se especificamente de uma falha na geração da seed em firmware vulnerável, e não de uma conta online da Coinkite ou de um ataque em que todas as Coldcards foram automaticamente assumidas.

Pontos principais

• O incidente girou em torno de uma falha na criação de algumas seeds da Coldcard.
• Uma seed com pouca entropia pode ser mais fácil de reconstruir do que o previsto.
• Quem consegue reconstruir uma seed pode inferir as chaves privadas de Bitcoin associadas.
• Um PIN protege o dispositivo, mas não corrige uma seed fraca.
• Uma seed vulnerável existente deve ser migrada para uma nova seed gerada de forma segura.

Como foi a carteira da Coinkite hackeada?

A vulnerabilidade estava na forma como algumas Coldcards criavam uma nova frase de recuperação. Devido a uma falha no software, estas frases de recuperação eram menos aleatórias do que deveriam ter sido.

Assim, os hackers precisaram de testar muito menos combinações possíveis. Com poder de computação suficiente, conseguiram descobrir determinadas frases de recuperação e obter acesso ao bitcoin associado. Para isso, não precisaram de ter a Coldcard em mãos. Muitos investidores, portanto, também não estão a par do problema e acabarão por perceber, mais cedo ou mais tarde, que as moedas foram roubadas.

O problema já existia desde 2021 em várias versões de software. Sobretudo os utilizadores que, nesse período, tinham criado uma nova frase de recuperação na sua Coldcard corriam risco. Atualizar apenas o software não é suficiente: uma frase de recuperação antiga e vulnerável continua vulnerável, porque nunca mais é alterada. Os utilizadores devem, por isso, após a atualização, criar uma nova frase de recuperação e transferir o seu bitcoin para a nova carteira.

Uma palavra-passe extra, além da frase de recuperação, podia proteger melhor a carteira. O PIN normal do dispositivo não ajudava contra este ataque, porque os hackers podiam usar a frase de recuperação roubada noutro dispositivo.

Que camadas de segurança usava a carteira Coldcard da Coinkite?

A Coldcard dispunha de várias camadas de segurança. Assim, as chaves privadas permaneciam offline no dispositivo e as transações podiam ser assinadas sem ligar diretamente a carteira à internet. Um PIN impedia que alguém abrisse o dispositivo sem mais, enquanto chips de segurança especiais deviam proteger as chaves secretas contra ataques físicos.

Além disso, os utilizadores podiam definir uma palavra-passe extra ou combinar várias carteiras, de modo que uma transação exigisse várias assinaturas digitais. Também podiam guardar a sua frase de recuperação offline para restaurar a carteira em caso de perda ou dano.

Ainda assim, uma camada crucial não funcionou corretamente: a criação da frase de recuperação. Se esta for demasiado previsível desde o início, muitas outras medidas de segurança podem ser contornadas. Um atacante não precisa então de quebrar o dispositivo ou o PIN, mas pode tentar descobrir diretamente a frase de recuperação. Os clientes que nada suspeitavam também ficaram completamente surpreendidos com o facto de a Coinkite não ter a segurança em ordem.

O que pode fazer se a sua carteira de hardware tiver sido hackeada?

Vê transações desconhecidas ou pensa que a sua frase de recuperação foi exposta? Então parta do princípio de que a sua carteira já não é segura. Uma atualização de software não é suficiente: a sua frase de recuperação e as suas chaves existentes continuam iguais.

Aja rapidamente, mas com cuidado. Um endereço errado ou uma cópia de segurança guardada incorretamente também pode causar perdas durante a transferência do seu bitcoin.

1. Atualize o software Se a sua carteira ainda não estiver vazia, instale o mais rapidamente possível o software oficial mais recente para a sua carteira de hardware. Descarregue atualizações apenas através do site do fabricante.
2. Crie uma carteira totalmente nova Após a atualização, crie uma nova carteira com uma nova frase de recuperação. Não transfira simplesmente a sua frase de recuperação antiga para outro dispositivo, porque o risco continua a existir.
3. Guarde e verifique a sua nova frase de recuperação Anote a nova frase de recuperação e guarde-a offline. Depois, verifique no ecrã da sua carteira de hardware se o novo endereço de receção está correto.
4. Envie primeiro um pequeno montante de teste Envie um pequeno valor para a nova carteira e confirme se chega. Só depois transfira o restante do seu bitcoin.
5. Guarde temporariamente a cópia de segurança antiga Não deite fora imediatamente a sua frase de recuperação antiga. Guarde-a até a transferência completa estar confirmada. Depois disso, deixe de usar a carteira antiga.

As transações de bitcoin roubado normalmente não podem ser revertidas. Por isso, registe as transações desconhecidas e denuncie o roubo à polícia.

Nunca partilhe a sua frase de recuperação ou palavra-passe extra nunca com ninguém. Nem mesmo se uma exchange o pedir. Também um verdadeiro funcionário de suporte não lhe pedirá isso. Quem tiver a sua frase de recuperação pode, em princípio, aceder ao seu bitcoin.

Como evitar um hack da carteira Coldcard?

Nunca pode excluir totalmente um hack, mas pode reduzir bastante o risco. Na Coldcard, é sobretudo importante usar o software mais recente e lidar com a sua frase de recuperação com cuidado.

1. Mantenha a sua Coldcard atualizada Instale sempre o software oficial mais recente antes de criar uma nova carteira. Descarregue atualizações apenas através do site da Coldcard.
2. Crie uma nova frase de recuperação, se necessário A sua frase de recuperação foi criada com software vulnerável? Então atualizar apenas não é suficiente. Após a atualização, crie uma nova carteira e transfira o seu bitcoin para o novo endereço.
3. Mantenha a sua frase de recuperação totalmente offline Não tire uma fotografia nem faça uma cópia digital e não guarde as palavras no seu e-mail ou armazenamento na cloud. Também nunca as partilhe com um website ou funcionário de suporte.
4. Use, se quiser, uma palavra-passe extra Uma palavra-passe extra forte e única pode proteger melhor a sua carteira se alguém descobrir a sua frase de recuperação. Guarde esta palavra-passe separadamente e com cuidado: se a esquecer, poderá já não conseguir abrir a carteira associada.
5. Verifique cada transação no dispositivo Antes de aprovar, verifique sempre o endereço de receção, o montante e as taxas de transação no ecrã da sua Coldcard. Não confie apenas nas informações que o seu computador ou telemóvel mostram.
6. Teste a sua cópia de segurança Verifique se consegue realmente recuperar o acesso à sua carteira com a sua frase de recuperação antes de enviar para lá um montante elevado.

Se quiser adicionar aleatoriedade extra ao criar a sua frase de recuperação, pode usar dados para isso. Faça-o apenas se souber exatamente como funciona. Em caso de dúvida, criar uma nova frase de recuperação com o software atualizado é a opção mais segura.

E se for vítima deste hack?

Pensa que a sua Coldcard foi afetada? Então parta do princípio de que a sua frase de recuperação já não é segura. Atualize primeiro a sua Coldcard, crie uma carteira totalmente nova e transfira o seu bitcoin o mais rapidamente possível. Envie primeiro um pequeno montante de teste e verifique cuidadosamente o novo endereço antes de transferir o restante.

Os seus bitcoins já foram roubados? Nesse caso, infelizmente, a transação não pode ser revertida. Guarde todas as informações sobre as transações e os endereços e denuncie o roubo à Coinkite e à polícia. Nunca partilhe a sua frase de recuperação com alguém que prometa recuperar o seu bitcoin: muitas vezes, estas são burlas que tentam atacar novamente. Se os Bitcoins tiverem sido realmente retirados da sua carteira, não há ninguém, exceto o próprio hacker, que possa recuperar estas moedas.

Conclusão

O hack da Coldcard mostra que mesmo uma carteira de hardware não é automaticamente totalmente segura. Devido a uma falha no software, algumas frases de recuperação foram geradas com menos aleatoriedade do que o pretendido. Os hackers conseguiram, assim, reconstruir estas frases de recuperação e esvaziar as carteiras associadas, sem precisarem da Coldcard física ou do PIN. No total, estima-se que tenham sido roubados 1.816 BTC, no valor de cerca de 116 milhões de dólares no momento da redação.

O incidente sublinha como é importante atualizar regularmente as carteiras de hardware e levar a sério os alertas de segurança dos fabricantes. Quem possa estar a usar uma frase de recuperação afetada não deve apenas atualizar o software, mas também criar uma carteira totalmente nova e transferir cuidadosamente o bitcoin restante. Uma atualização não torna, afinal, segura uma frase de recuperação vulnerável criada anteriormente.

A cold storage reduz muitos riscos, mas não os elimina por completo. No fim de contas, a segurança de uma carteira não depende apenas do dispositivo físico, mas também do software, da criação da frase de recuperação e da forma como o utilizador guarda a sua cópia de segurança. A principal lição deste hack é, por isso, simples: não confie cegamente numa única camada de segurança, mantenha-se a par das vulnerabilidades e aja de imediato quando a sua carteira possa estar em risco.