Hackers roubaram mais de US$ 100 milhões em Bitcoin de milhares de contas que eram consideradas seguras nos últimos dias, desencadeando mais um escândalo para investidores que vêm sendo repetidamente alvo de criminosos no setor.
As perdas mais recentes decorrem de uma falha de software em uma chamada carteira fria (cold wallet) de Bitcoin, desenvolvida pela empresa canadense Coinkite. Carteiras frias utilizam um dispositivo físico em conjunto com senhas privadas, conhecidas como “chaves” (keys), para acrescentar uma camada extra de segurança além dos longos códigos normalmente usados — códigos esses que, ainda assim, são frequentemente comprometidos por ataques.
No fim da semana passada, porém, a Coinkite notificou seus usuários de que algumas carteiras que utilizavam seus dispositivos Coldcard haviam sido comprometidas. Até esta segunda-feira, mais de 1.755 bitcoins, avaliados em cerca de US$ 110 milhões, haviam sido retirados de aproximadamente 5.000 carteiras, segundo a Galaxy Research.
A violação provocou um nível compreensível de histeria nas redes sociais, sem falar no desespero de usuários que viram seus bitcoins simplesmente desaparecerem, sem qualquer explicação aparente.
— No momento em que a tela carregou, eu soube que estava perdido porque vi várias linhas vermelhas indicando saques— contou Jonathan Goodman, uma das vítimas, à Bloomberg News. — Entre 21h36 e 21h43 do dia 29 de julho, minhas três carteiras foram completamente esvaziadas.
Goodman afirma ter perdido US$ 1,6 milhão no ataque.
Veja como aconteceu o ataque, segundo especialistas em criptomoedas e a própria Coinkite:
Uma falha no software dos dispositivos Coldcard fazia com que a “frase-semente” (seed phrase) — a longa sequência de palavras usada para recuperar o acesso a uma carteira — fosse previsível, de acordo com um relatório da equipe de engenharia da Block.
O problema estava na forma como a Coinkite implementou o gerador de números aleatórios durante a criação dessas frases, segundo a Block. A verdadeira aleatoriedade é um componente essencial da segurança criptográfica. No entanto, as carteiras Coldcard possuíam um mecanismo de contingência que acabava gerando chaves com base em valores muito mais simples, como os números de série dos próprios dispositivos.
Como consequência, os invasores conseguiram recalcular sistematicamente as chaves privadas e esvaziar as carteiras dos usuários. Na sexta-feira, estimava-se que as perdas somavam cerca de US$ 38 milhões, mas o valor aumentou rapidamente ao longo do fim de semana e chegou nesta segunda-feira superando US$ 110 milhões. O Bitcoin registrava pouca variação, sendo negociado em torno de US$ 63.800.
— Isso serve como um lembrete de que a autocustódia é tão segura quanto os processos utilizados para gerar e proteger as chaves privadas— afirmou Ayesha Kiani, diretora de operações da gestora de ativos digitais Monarq Asset Management.
Em comunicado publicado em seu site, a Coinkite confirmou que os fundos dos usuários ainda permaneciam em risco. A empresa disponibilizou uma nova versão de um software especial para seus clientes, depois que alguns deles ficaram impedidos de acessar seus próprios dispositivos.
O ataque atraiu ampla atenção na internet, com influenciadores e executivos do setor debatendo suas implicações.
— Isso expõe a falsa ideia de que suas criptomoedas estão realmente off-line— afirmou Aneirin Flynn, CEO da empresa de tecnologia em cibersegurança Failsafe. — O dispositivo serve apenas para gerar suas senhas. Se a matemática por trás desse processo estiver comprometida, essas senhas podem ser reconstruídas por engenharia reversa.
Até o momento, em 2026, o volume de criptomoedas roubadas é inferior ao registrado no ano passado. No primeiro semestre, as perdas totais chegaram a US$ 972 milhões, menos da metade dos US$ 2,3 bilhões furtados nos seis primeiros meses de 2025, segundo um relatório da TRM Labs publicado no mês passado.
Ainda assim, o número total de ataques subiu para 207, o maior já registrado em qualquer período de seis meses.
Talvez o aspecto mais revoltante para os detentores de Bitcoin afetados seja o fato de acreditarem que estavam utilizando a opção mais segura disponível para proteger seus investimentos.
Tim Lamb, diretor-gerente da EquityEdge Studio, fez um apelo às autoridades em uma publicação na rede social X, pedindo que os responsáveis fossem identificados. Ele afirmou que os dois bitcoins que possuía tinham como objetivo proporcionar aos seus filhos “um bom começo de vida” e classificou as perdas como “um golpe terrível”.
Para Jonathan Goodman, o episódio evidenciou o quanto ele depositava de “fé cega” na tecnologia que utilizava. Ele disse que não pretende voltar a investir em Bitcoin nem a usar carteiras frias.
— Se realmente é tudo isso tão complicado e técnico, talvez não valha a pena. Basicamente, ninguém sabe como essas coisas realmente funcionam.
'Hackers' acham falha e roubam US$ 110 milhões em Bitcoins de carteiras consideradas invioláveis
