Um novo capítulo do caso de roubo envolvendo carteiras frias da Coldcard ganhou contornos mais graves neste fim de semana. A Galaxy Research, ao acompanhar as movimentações on-chain, identificou que o responsável pela terceira onda de ataques transferiu 97,09 Bitcoin (BTC), aproximadamente US$ 7,7 milhões, o que representa cerca de 45% do montante subtraído nessa fase do ataque. Os fundos saíram dos 11 maiores vaults associados ao incidente, esvaziados em uma sequência de transações realizadas entre os dias 2 e 6 de setembro.
Rota dos fundos usa THORChain e CoinJoin em três fases
De acordo com registros analisados pela Galaxy Research, no dia 2 de setembro o atacante transferiu cerca de 20,5 BTC do maior vault ligado à terceira onda de roubos por meio do THORChain, com os valores sendo direcionados para a rede Ethereum. A escolha de um protocolo de intercâmbio entre cadeias, combinada com a conversão para ativos da Ethereum, indica uma tentativa de romper a trilha de rastreamento na blockchain do Bitcoin.
No dia 5 de setembro, outros 15,48 BTC do segundo maior vault entraram em uma transação CoinJoin. Já no dia 6 de setembro, 61,12 BTC adicionais, provenientes de dez vaults distintas, também foram movimentados. Somadas, as três rodadas totalizam aproximadamente 97,09 BTC, equivalentes a US$ 7,7 milhões.
O CoinJoin é uma técnica que combina transações de diversos usuários em uma única operação, dificultando a correlação entre os endereços de origem e os de destino. O THORChain, por sua vez, possibilita a troca de Bitcoin por outros ativos sem a necessidade de cadastro em exchanges centralizadas, adicionando mais camadas de complexidade para analistas de blockchain.
Onze maiores vaults esvaziadas em ataque ordenado por tamanho
O comportamento do invasor indica um planejamento minucioso. A Galaxy Research afirmou que o atacante tem trabalhado nas 293 vaults comprometidas em ordem decrescente de saldo, priorizando os alvos de maior valor. Com a mais recente leva de transações, as 11 maiores vaults da terceira onda já foram completamente drenadas.
Notícias Relacionadas
A terceira onda de roubos faz parte de um incidente ainda mais amplo que, segundo dados compilados pela pesquisa, já responde por aproximadamente 1.806 BTC subtraídos. Isso significa que, mesmo com as 11 maiores vaults esvaziadas, o prejuízo total é expressivo e deve mobilizar esforços de investigação e resposta em toda a indústria de ativos digitais.
O tamanho da operação escancara um ponto de vulnerabilidade que afeta diretamente a confiança em dispositivos de armazenamento a frio, considerados por muitos usuários como o padrão ouro da autoprestação de custódia.
Firmware novo não corrige seed comprometida; geração de nova frase é urgente
Um dos alertas mais críticos trazidos pela pesquisa é que a atualização de firmware da Coinkite, empresa responsável pelas carteiras Coldcard, não é capaz de reparar carteiras que já foram comprometidas pela falha na geração de seeds. Usuários atingidos precisam gerar novas frases-semente em um dispositivo seguro e transferir todos os ativos imediatamente.
A origem do problema está no processo de geração das sementes. Se a randomização das chaves privadas foi afetada, qualquer quantia armazenada em uma carteira criada nessas condições precisa ser considerada sob risco. Manter os fundos no mesmo dispositivo mesmo após a atualização do firmware não elimina a exposição, pois a chave pode já estar comprometida.
Para quem utiliza Coldcard ou outras carteiras frias, a recomendação prática é criar uma nova seed em um aparelho confiável, transferir pequenas quantias primeiro e, somente depois de confirmar o correto funcionamento, migrar todo o saldo. Acompanhar os comunicados oficiais da Coinkite e da Galaxy Research pode ajudar os usuários a entenderem se suas carteiras específicas estão entre as afetadas.
