Coldcard reverte política de exclusão de dados após ataque a carteira digital que custou US$ 116 milhões

A Coinkite, criadora da carteira Coldcard, que foi alvo de um ataque que resultou em um prejuízo de US$ 116 milhões no maiordentde segurança de julho, informou seus usuários que implementou mudanças significativas na forma como armazena seus dados, antecipando-se a possíveis obrigações legais.

O aviso, redistribuído na conta X da Coldcard na manhã de sexta-feira, detalhou que a Coinkite deixará de apagarmaticos registros dos clientes. Essa divulgação representa uma reversão da posição da empresa, que a associou diretamente à vulnerabilidade de firmware que drenou mais de US$ 100 milhões em Bitcoinde suas carteiras de hardware desde 30 de julho de 2026.

Como o Coinkite lida com os registros de usuários?

A Coinkite confirmou que irá alterar a forma como lida com os dados dos clientes "em decorrência dodent de segurança divulgado em 30 de julho de 2026". No entanto, antes dessa declaração, a empresa rotineiramente excluía os registros dos clientes, com exceção de seus endereços de e-mail e países de residência.

A mudança na prática padrão do fabricante da carteira Coldcard faz parte do que a empresa descreveu como preparação para "obrigações legais" decorrentes do roubo.

A empresa não especificou em seu comunicado quais informações pretende armazenar ou por quanto tempo as armazenará daqui para frente.

Ainda assim, trata-se da mais recente grande mudança em relação ao princípio de priorizar a privacidade e a autocustódia, que se tornou o mantra da Bitcoin Maxis durante décadas.

O que aconteceu com a Coldcard?

A reformulação da política de retenção de dados da Coinkite ocorre após um dos piores de segurança do anodent, que explorou a versão 4.0.1 do firmware lançada pela empresa em março de 2021.

Conforme alertado pela TRM Labs, refletindo a gravidade da vulnerabilidade de segurança, a instalação do firmware corrigido protege apenas as carteiras futuras. Qualquer seed criada em uma Coldcard vulnerável entre março de 2021 e a data da atualização deve ser considerada insegura.

Até o momento, Cryptopolitan relatou quatro ondas de ataques desde 30 de julho, quando a vulnerabilidade foi exposta pela primeira vez.

A primeira onda de ataques dizimou cerca de 594 BTC, equivalentes a quase US$ 38 milhões na época, de aproximadamente 500 carteiras em 25 minutos. A Galaxy Research tracmais três ondas nos quatro dias seguintes. Até o momento deste relatório, o prejuízo total do atacante chega a 1.816 BTC, distribuídos em mais de 5.200 endereços.

A TRM considera este o terceiro maior ataque hacker a criptomoedas de 2026, ano em que o setor já perdeu mais de US$ 1,2 bilhão em 276dent.

Coinkite contesta as alegações de que "eles sabiam"

Com o aumento das perdas, cresceram também as acusações de que a Coinkite teria ignorado a falha por anos. A empresa vem corrigindo publicamente essa informação. 

Em resposta a Jack Mallers em 7 de agosto, a COLDCARD escreveu que "não havia uma alternativa de entropia fraca", argumentando que o gerador de números pseudoaleatórios (PRNG) fraco, chamado Yasmarang, era o gerador de propósito geral integrado do MicroPython, introduzido anteriormente, e não uma alternativa do Coinkite.

Em outro caso, em 5 de agosto, surgiram relatos de que um episódio do Rabbit Hole Recap de 2021, frequentemente citado como prova de conhecimento prévio, se referia a um bug diferente, e não ao problema com o gerador de números aleatórios (RNG). A própria página de histórico de divulgações lista 23 eventos relevantes para a segurança, que remontam a 2019, e a empresa tem repetidamente direcionado seus críticos a essa página.

O Canadá foi o mais afetado

A geografia distorceu os danos. Cryptopolitan noticiou em 5 de agosto que cerca de 25% das perdas atribuídas tracaté detentores no Canadá, com os Estados Unidos e a Tailândia também fortemente afetados, com base em dados da Chainalysis que vinculam o banco de dados de endereços de carteiras a regiões prováveis. 

A Chainalysis atribuiu a exposição do Canadá à adoção precoce Bitcoin e às campanhas de influenciadores que impulsionaram a Coldcard localmente.

As consequências se ripple. O relatório semanal de pesquisa da CoinMarketCap afirmou que o ataque cibernético abalou a confiança na autocustódia e fez com que alguns Bitcoinvoltassem a usar exchanges centralizadas. Em resposta, um grupo chamado Red Team, liderado por Rob Hamilton, CEO da AnchorWatch, iniciou auditorias com auxílio de inteligência artificial em Bitcoin , tendo analisado 150 repositórios até o momento.

As mentes mais brilhantes do mundo das criptomoedas já leem nossa newsletter. Quer participar? Junte-se a elas.