Galaxy Research atribui ataque a carteiras Bitcoin Coldcard de US$ 70 mi a 1.196 endereços esvaziados

A Galaxy Research informou ter identificado 1.196 endereços de Bitcoin ligados a carteiras Coldcard que tiveram 1.082,65 BTC desviados — cerca de US$ 70,2 milhões — em uma janela de 41 minutos em 30 de julho. Segundo a equipe, as transações ocorreram entre 01:10:20 UTC e 01:51:26 UTC, distribuídas por seis blocos, antes de a Coinkite divulgar publicamente uma vulnerabilidade de firmware que afetava determinados modelos de hardware wallet Coldcard. A Galaxy disse não ter encontrado, nos últimos 30 dias, outras movimentações com padrão semelhante. Padrão on-chain apontou para um único operador De acordo com a Galaxy Research, todas as transações do incidente usaram a mesma taxa de rede, de 30,0 sat/vB, e não geraram saída de troco. Para os pesquisadores, essa combinação diferencia a atividade de consolidações comuns na rede Bitcoin e sugere a atuação de um operador automatizado. O relatório afirma que foram drenados 1.183 endereços native SegWit, sete endereços BIP49 e seis endereços BIP44, um perfil que, segundo a Galaxy, é consistente com varredura automatizada por múltiplos caminhos de derivação de carteiras. As transferências também teriam ocorrido em lotes, não de forma contínua: durante o período de 41 minutos, três blocos intermediários não registraram atividade de "sweep". A Galaxy acrescentou que quatro endereços de Bitcoin receberam os fundos furtados e que esses saldos não se movimentaram desde a consolidação inicial. Falha de firmware levou a resposta emergencial A Coinkite alertou inicialmente para um problema que afetava seeds geradas em dispositivos Coldcard Mk3 com firmware na versão 4.0.1 ou posterior. Posteriormente, ampliou o aviso para incluir certas versões de firmware dos modelos Mk4, Mk5 e do Coldcard Q, ao mesmo tempo em que liberou atualizações emergenciais. O CEO da Coinkite, Rodolfo Novak, assumiu a responsabilidade pela falha, pediu desculpas aos usuários e afirmou que o processo de revisão da empresa não detectou o problema antes do lançamento. Novak também sugeriu que a inteligência artificial pode ter ajudado a revelar a vulnerabilidade e defendeu que revisões de código assistidas por IA podem identificar fragilidades mais rapidamente do que auditorias manuais tradicionais. Galaxy alerta para risco de novos ataques A Galaxy Research avaliou que novos ataques ainda podem ocorrer caso usuários mantenham recursos em endereços Coldcard de assinatura única afetados. A empresa ressaltou que incidentes futuros podem não repetir o mesmo padrão on-chain: a assinatura observada no episódio de 30 de julho vincula apenas o invasor inicial e não serviria para detectar furtos posteriores, já que novas transações podem se parecer com transferências legítimas. Como medida de mitigação, a Galaxy recomendou migrar os fundos para serviços de custódia confiáveis ou para configurações de autocustódia com múltiplas assinaturas. A Coinkite também orientou a instalação do firmware atualizado, a geração de uma nova seed, o teste da carteira com uma transferência pequena e a manutenção dos backups antigos até a conclusão da migração.