Uma suspeita quarta vaga de ataques drenou quase 389 Bitcoin (BTC) de 462 endereços ligados à falha de firmware do Coldcard, informou a Galaxy Research nesta segunda-feira.
Principais pontos:
- Pesquisadores identificaram 218 transações que moveram cerca de 388,93 BTC de 462 endereços suspeitos de serem vítimas.
- Ondas anteriores já haviam subtraído 1.367,05 BTC de 4.585 endereços, o equivalente a cerca de US$ 88,6 milhões.
- A Coldcard interrompeu envios, destruiu o stock vulnerável e orientou utilizadores a gerar novas seeds antes de transferir fundos.
Varrida de Bitcoin em carteiras Coldcard
Alex Thorn, diretor de pesquisa da Galaxy Research, identificou 218 transações entre os blocos 960.778 e 960.792 que moveram 388,93 BTC de 462 endereços suspeitos. A atividade ocorreu ao longo de cerca de 2,5 horas. As varridas médias foram de 13,8 por bloco, aproximadamente 45 vezes acima da taxa pré-incidente, de 0,3, e parte dos fundos já chegou a carteiras de “segundo salto”.
“São provavelmente vítimas do Coldcard”, disse Thorn, acrescentando que o padrão das transações lhe dava “alta confiança” de que uma nova vaga coordenada de ataques estava em curso. A suspeita quarta vaga ainda não tinha confirmação oficial quando ele emitiu o alerta na manhã de segunda-feira.
Thorn afirmou que transações semelhantes permaneciam na mempool do Bitcoin com a funcionalidade replace-by-fee (RBF) ativada, o que permite substituir um pagamento ainda não confirmado por outro com taxa superior. Esse mecanismo pode possibilitar que uma vítima supere a oferta do atacante antes que os mineradores confirmem qualquer uma das transações.
No domingo, a Coldcard informou que suspendeu as remessas e destruiu o stock remanescente com o firmware defeituoso. A atualização de software protege apenas seeds geradas após a instalação; assim, utilizadores expostos precisam criar uma nova seed e mover os fundos. A empresa pediu que as vítimas mantenham os dispositivos afetados, enquanto sua equipa jurídica coordena a atuação com as autoridades.
Leia também: Astra Versus Claude Opus 5: Uma divide o problema, outra mantém o contexto
Risco nas carteiras de Bitcoin
A Onchain Lens estimou as perdas confirmadas nas três primeiras vagas em US$ 88,6 milhões. Um investidor canadiano teria perdido cerca de US$ 1,6 milhão em poucos minutos.
Changpeng Zhao, fundador da Binance conhecido como CZ, alertou que carteiras de hardware consolidadas podem conter bugs e sugeriu distribuir os criptoativos por vários dispositivos. Ele reconheceu, porém, que espalhar os fundos também cria outros tipos de risco.
A Coldcard afirmou que fabricantes de hardware wallets, pesquisadores e especialistas em autocustódia ofereceram apoio enquanto a empresa responde ao incidente.
A equipa garantiu estar “comprometida em trabalhar com o setor mais amplo daqui para a frente”, uma promessa que pode influenciar práticas de testes e divulgação de falhas em carteiras.
A primeira grande varrida, em 30 de julho, drenou 1.082,65 BTC de 1.196 endereços em apenas 41 minutos. Outras duas vagas posteriores elevaram as perdas confirmadas para 1.367,05 BTC em 4.585 endereços. A Coldcard reiterou que Satscard, Opendime e Tapsigner utilizam código distinto e não foram afetadas.
Próximo: Por que o Ethereum fica apenas com 4,9% do que as suas aplicações realmente faturam