ZachXBT diz que não vai rastrear hack de US$ 88,6 milhões envolvendo Coldcard e cita falta de apoio da comunidade do Bitcoin

O investigador on-chain ZachXBT afirmou que não pretende monitorar nem rastrear o hack que já soma US$ 88,6 milhões envolvendo carteiras de hardware Coldcard. Em publicação no X, ele disse que, após anos de trabalho, recebeu pouco apoio da comunidade do Bitcoin e que sua prioridade é dedicar tempo a ecossistemas que valorizam suas apurações. O comentário veio no quinto dia do incidente, com o total roubado em alta. ZachXBT já atuou pro bono em casos relevantes no passado e sugeriu que existe um descompasso entre o esforço esperado dele em momentos de crise e o nível de suporte que recebeu de detentores de BTC. A exploração está ligada a uma falha de firmware em dispositivos fabricados pela canadense Coinkite. O problema afetou a Coldcard Mk3 nas versões 4.0.1 a 4.1.9: em parte das unidades, a geração de entropia para a seed foi feita por um gerador de números aleatórios via software, em vez do chip dedicado do hardware, tornando algumas seeds potencialmente adivinháveis. A primeira onda ocorreu em 30 de julho, quando cerca de 594 BTC (aproximadamente US$ 38 milhões na época) foram drenados de quase 500 endereços inativos em menos de 30 minutos. A Coinkite distribuiu um firmware corrigido em até dois dias, mas as perdas continuaram. Em 2 de agosto, a Galaxy Research contabilizava 1.367 BTC (US$ 88,6 milhões) retirados de 4.585 endereços em três ondas distintas. A velocidade e a precisão dos saques alimentaram especulações de uso de ferramentas automatizadas, possivelmente com apoio de IA, para identificar e esvaziar endereços vulneráveis em minutos a cada varredura. O montante seguiu crescendo ao mesmo tempo em que aumentaram os depósitos em exchanges associados aos fundos roubados, e BTC antigos, antes parados e ligados ao caso, voltaram a se movimentar. Além do hack, a reação também se voltou contra a política de retenção de dados da Coinkite. A empresa enviou alertas por e-mail a todos os endereços que conseguiu alcançar a partir de registros da loja e de newsletter, alguns desde 2019. Isso contradisse declarações anteriores do CEO Rodolfo Novak, que havia dito que os dados de clientes eram apagados 90 dias após a compra e que havia opções de compra anônima. Depois, a Coinkite reconheceu que mantém os e-mails de compra por tempo indeterminado e que não possui uma política de exclusão para essas informações, o que gerou uma nova rodada de críticas separada do ataque. Novak defendeu o histórico de segurança da empresa, argumentando que concorrentes enfrentam violações com frequência e que a Coinkite trata o tema com máxima seriedade. O episódio já começa a afetar a confiança em autocustódia e pode levar investidores mais cautelosos a preferirem ETFs em vez de administrar chaves próprias. O caso também ganhou contornos públicos na própria rede: uma oferta explícita de "lavagem" de bitcoin direcionada ao invasor foi registrada diretamente no blockchain do Bitcoin, ampliando a repercussão nas redes sociais e em dados on-chain. Com ZachXBT fora do acompanhamento, o trabalho de rastrear os 1.367 BTC tende a recair ainda mais sobre empresas como a Galaxy Research, que vem publicando atualizações por onda conforme a atividade das carteiras do atacante evolui. Também surgiram relatos de que o bug de entropia que afetou a Coldcard Mk3 existiria desde um firmware de março de 2021, o que significa que seeds geradas nessa versão ao longo de mais de quatro anos podem permanecer expostas até que os usuários migrem para uma nova seed usando o firmware corrigido.