Principais pontos

  • A vulnerabilidade na Coldcard permitiu o roubo de US$ 130 milhões em criptoativos globalmente.
  • O problema residia em um erro na geração das seed phrases presente no código desde 2021.
  • Mais de US$ 950 milhões foram perdidos em ataques a criptomoedas ao longo de 2026.
  • A Coinkite confirmou a falha em 4 de agosto de 2026 e exige atualização urgente de firmware.

Hackers exploraram uma vulnerabilidade nas carteiras virtuais offline da marca Coldcard e roubaram mais de US$ 130 milhões de usuários em todo o mundo. A confirmação do ataque ocorreu em 4 de agosto de 2026, quando a fabricante Coinkite admitiu a existência de um erro crítico no software dos dispositivos.

Investidores brasileiros que utilizam esses equipamentos de armazenamento a frio para realizar a custódia própria de seus criptoativos devem verificar imediatamente os modelos afetados e realizar a atualização do sistema interno, além de transferir os fundos para novas chaves de segurança. O incidente reacendeu o alerta sobre a proteção de ativos digitais guardados fora de corretoras no país.

A invasão ocorreu por conta de uma falha na geração das frases semente, conhecidas como seed phrases, que são as sequências de palavras responsáveis por criar e proteger as chaves privadas dos investidores. Esse problema permitiu que invasores previvessem as combinações secretas e tivessem acesso às carteiras sem a necessidade de invadir fisicamente os dispositivos das vítimas. A Coinkite informou que a vulnerabilidade estava presente em uma linha de código implementada ainda em 2021. Cerca de uma dúzia de grupos de cibercriminosos teriam se aproveitado da brecha para realizar os saques indevidos.

Uma das vítimas, Jonathan Goodman, relata o impacto da perda. "Talvez a parte mais difícil de tudo isso seja que eu fiz tudo certo", afirmou Goodman. O investidor destacou a gravidade da falha no equipamento. "Nada disso importou. Tudo porque o hardware que criou a frase semente originalmente tinha uma linha em seu código de 2021 que possuía uma vulnerabilidade", declarou.

Impacto para os investidores no Brasil

Dispositivos de armazenamento offline, conhecidos como hardware wallets, são amplamente recomendados por especialistas e utilizados por investidores brasileiros para proteger criptomoedas contra ataques cibernéticos em corretoras. No entanto, os modelos da Coldcard não possuem representação oficial ou fabricação nacional, dependendo de importação direta por parte do usuário.

A recomendação da fabricante para os afetados é realizar a atualização imediata do firmware e fazer a migração total dos fundos para uma nova frase semente gerada de forma segura. A empresa não informou quantos usuários brasileiros possuem os modelos afetados pela falha de código nem o valor total registrado em prejuízos na moeda local (R$).

Risco em armazenamentos a frio de criptomoedas

As carteiras físicas são projetadas para operar desconectadas da internet, sendo consideradas o padrão mais alto de segurança no mercado de criptoativos. Apesar disso, falhas registradas na fase de programação do software interno podem expor os dados antes mesmo do armazenamento dos valores.

O ataque à Coldcard soma-se a um cenário global de alta nas fraudes do setor. O mercado de criptomoedas já registrou mais de US$ 950 milhões em perdas causadas por ataques cibersegurança apenas neste ano. Usuários brasileiros que não realizarem a atualização e a troca da frase semente permanecem com os saldos vulneráveis a novas movimentações não autorizadas.

Leia também

Perguntas frequentes

Como a falha na Coldcard permitiu o acesso às chaves privadas?

A falha ocorreu devido a um erro de programação presente desde 2021 na geração das frases semente. Esse defeito permitiu que hackers previssem as combinações secretas dos usuários, possibilitando o acesso remoto e o roubo dos ativos digitais sem a necessidade de uma invasão física aos dispositivos de hardware.

O que investidores brasileiros devem fazer para proteger seus ativos?

Os usuários devem realizar a atualização imediata do firmware do dispositivo através do site oficial da fabricante. Além disso, é essencial transferir todos os fundos para uma nova carteira, com uma frase semente recém-gerada, garantindo assim que a nova chave de segurança não esteja comprometida pelo código vulnerável anterior.

Por que o armazenamento offline ainda apresenta riscos de segurança?

Embora o armazenamento offline seja considerado o padrão mais seguro para criptomoedas, ele não é imune a falhas de fabricação. Problemas na codificação original do software interno podem expor os dados antes mesmo do uso, tornando o dispositivo vulnerável a ataques mesmo que ele permaneça desconectado da rede mundial.