1300 BTCs roubados de coldwallet
comentada em 10/08/2026 17:07

Essa hardware Wallet eh brasileira?

podem traduzir, do que se trata?

Também fiquei curioso como foi feito o hack.


"Visão geral criada por IA




Hackers stole approximately 594 Bitcoin (worth about $38 million) from around 500 Coldcard single-signature wallets by exploiting a critical firmware bug that made the wallet's seed generation predictable. The attack took place on July 30-31, 2026, draining the affected funds in a highly coordinated sweep lasting under 30 minutes. 



The Root Cause: Bypassed Hardware Randomness

According to investigations by Block's Bitcoin engineering team and Coldcard's manufacturer, Coinkite, the theft was not a remote network hack or a physical breach of the device. Instead, it stemmed from a critical flaw in the wallet's software:"

Estava até pensando em ter uma cold wallet (ou até hot), mas agora vou seguir o @Bastter e deixar todos os meus 0,00000000000000001 bitcoin na corretora mesmo.

pessoal é histérico

vou falar minhas primeiras impressões:

1- ColdCard é uma marca de carteira fria (coldwallet) da empresa CoinKite, não foram as "coldwallets" que foram atacadas, o que se suspeita até agora é que apenas um modelo antigo da ColdCard, a MK3 que teve um problema na geração das palavras, mas a ColdCard já está na versão MK5

2- O problema parece estar na criação das palavras na MK3 que tinha a opção de lançar dados pra criar as palavras, esses lançamentos de dados (tipo um joguinho de aleatoriedade) parece que tinha uma aleatoriedade baixa, um problema que acontecia muito no passado com carteiras antigas

3- Provavelmente as pessoas que tiveram os btcs drenados não colocaram PIN ou passphrase como proteção adicional, as pessoas sérias que trabalham com bitcoin sempre recomendam para quem for fazer custódia própria de valores significativos colocar passphrase e não confiar na entropia (aleatoriedade digital) das carteiras, mas criar suas palavras de forma mecânica, por exemplo, jogando dados físicos, sorteio de papéis, baralho ou inúmeras outras formas

4- Se for comprovada essa falha a responsabilidade é também da empresa que desenvolveu a carteira, inclusive legalmente ela provavelmente será responsabilizada

postado por @nukacola em 31/07/2026 11:58:41

Também fiquei curioso como foi feito o hack.
"Visão geral criada por IA


Hackers stole approximately 594 Bitcoin (worth about $38 million) from around 500 Coldcard single-signature wallets by exploiting a critical firmware bug that made the wallet's seed generation predictable. The attack took place on July 30-31, 2026, draining the affected funds in a highly coordinated sweep lasting under 30 minutes. 

The Root Cause: Bypassed Hardware Randomness

According to investigations by Block's Bitcoin engineering team and Coldcard's manufacturer, Coinkite, the theft was not a remote network hack or a physical breach of the device. Instead, it stemmed from a critical flaw in the wallet's software:"

Estava até pensando em ter uma cold wallet (ou até hot), mas agora vou seguir o @Bastter e deixar todos os meus 0,00000000000000001 bitcoin na corretora mesmo.

E vc acha que a corretora gera e guarda os endereços por onde? 

postado por @user1 em 31/07/2026 12:16:43

3- Provavelmente as pessoas que tiveram os btcs drenados não colocaram PIN ou passphrase como proteção adicional, as pessoas sérias que trabalham com bitcoin sempre recomendam para quem for fazer custódia própria de valores significativos colocar passphrase e não confiar na entropia (aleatoriedade digital) das carteiras, mas criar suas palavras de forma mecânica, por exemplo, jogando dados físicos, sorteio de papéis, baralho ou inúmeras outras formas

Entropia... me lembrou as aulas de Termodinâmica :)


Post(e) desvirtuadoBonfantus13Origem do Selo92 posts

postado por @B.U.S.H.I.E.L.D em 31/07/2026 13:25

Entropia... me lembrou as aulas de Termodinâmica :)Post(e) desvirtuadoBonfantus13Origem do Selo92 posts

Cada um com seu cada qual..

https://medium.com/@krigerbruce/the-philosophy-of-entropy-order-decay-and-the-meaning-of-equilibrium-f972d0888953

Comunicado da empresa:

"A Coinkite alerta todos os usuários que geraram uma seed usando um Mk3 nas versões 4.0.1 (março de 2021) até 4.1.9 (inclusive) que seus fundos podem estar em risco.
 
As sementes geradas nos modelos Mk4, Q e Mk5 antes das atualizações de firmware corrigidas também são afetadas, apresentando cerca de 72 bits de entropia em vez dos 128 bits esperados."

Mk3 Security Advisory | COINKITE Blog

postado por @Bastter em 31/07/2026 14:57:52

e os meus bitcoins na corretora estao la seguros  =)

Dança de super heroisBastter126 posts

exceto se fosse na FTX,ou MT Gox rs

@Bastter mas qual a graça de ter a foto do quadro da Mona Lisa ao invés de ter o quadro da Mona Lisa :)

bitcoin é igual obra de arte, dá um pouco de trabalho ter, tem que ter certos cuidados

Ver maiso cidadão que comprou bitcoio na Binância e nem lembra da senha

Então parece que foi um bug na geração da seed phrase dessa coldwallet especificamente, a entropia da seed era menor do que o esperado e essas carteiras não tinham passphrase
Alguns pontos:
- quem perdeu os btcs fez tudo certo e era entusiasta. Carteira offline airgaped. Mas o codigo estava bugado. já era.
- esse ataque prova que a força bruta está aumentando exponencialmente. O bug tem 5 anos, só conseguiram explorar agora
- ainda não terminou

postado por @Innervisions em 31/07/2026 16:04

Então parece que foi um bug na geração da seed phrase dessa coldwallet especificamente, a entropia da seed era menor do que o esperado e essas carteiras não tinham passphrase
Alguns pontos:
- quem perdeu os btcs fez tudo certo e era entusiasta. Carteira offline airgaped. Mas o codigo estava bugado. já era.
- esse ataque prova que a força bruta está aumentando exponencialmente. O bug tem 5 anos, só conseguiram explorar agora
- ainda não terminou

a carteira tinha opção de passphrase mas provavelmente quem sofreu o ataque não colocou, o que é um grande equívoco se vc vai guardar um saldo grande que não pode perder

isso não tira a responsabilidade da carteira, uma vez que só com as palavras (seed phrase) era pra proteger com uma entropia mínima de 128 bits, porém, as seeds que foram atacadas por força bruta geradas nessas carteira, MK3 especificamente, estavam provendo apenas 40 bits de entropia

foi um erro catastrófico que ficou desapercebido por 5 anos

@Bastter falando sem zoeira, sempre foi dito no meio pra não confiar 100% na segurança das coldwallets, como usuário vc precisa fazer sua parte, se for colocar saldos grandes as boas práticas ensinadas nos fóruns e pelos bitcoiners em geral é a própria pessoa fazer sua seedphrase manual de forma fria, offline e mecânica, e colocar passphrase, o que provavelmente não fizeram

isso diminiu o range de pessoas aptas pra fazer custódia própria, realmente custódia própria não é pra todos, a pessoa precisa ter o mínimo de noção de algumas coisas, no btc se bobear na segurança já era, os hackers não tem dó

isso concordo que é um argumento contra a descentralização, a maioria precisa e quer um intermediário mesmo, enquanto não existir uma interface fácil e confiável

tem chances da empresa ressarcir os clientes, mas pode demorar e dar muita dor de cabeça na justiça

postado por @Bastter em 31/07/2026 17:00

mas nao era totalmente seguro?
O @user1me garantiu q era seguro quando fiz minha coldwallet
quem paga meus bitcoins agora?

  
O mais seguro é deixar na corretora bastter 
Fique tranquilo que la as coldwallets sao especiais
Eles guardam o "seu" bitcoin com muito amor e carinho
E eles nunca sofrem ataques hackers ou tentativas de ataques
E obviamentr nunca vão fechar sem dar satisfação ou devolver seu dinheiro 
=)

 @user1 poderia ensinar um pouco sobre passaphrase?
Consigo colocar na minha ledger?

@extimido geralmente toda coldwallet tem essas 3 coisas pra gerar quando vc vai criar uma carteira:

1- seedphrase
2- passphrase
3- pin

a seedphrase é o conjunto de palavras, 12 ou 24, escolher 24 é mais seguro, e essa parte é obrigatória, é isso que gera a carteira basicamente

já a passphrase e o pin são opcionais, a opção de inserir passphrase geralmente aparece antes ou depois de gerar a seedphrase na própria tela da coldwallet ou no canto da tela, não tenho ledger, não sei dizer em que parte aparece a opção

a passphrase é uma senha que vc escolhe, pode ser praticamente qualquer coisa, por exemplo, uma frase que vc gosta misturado com o nome do seu cachorro mais números e caracteres especiais, é de criatividade livre

mas tome cuidado, a passphrase não pode ser muito simples mas também não pode ser muito complicada, há diversos casos conhecidos e documentados de pessoas que perderam o acesso à carteira porque colocaram uma passphrase tão difícil que se esqueceram ou anotaram errado, aí já era

também não use caracteres da língua portuguesa como ç, ^, ~ ou qualquer caracter de outra língua que não seja o inglês, isso pode dar problema se um dia vc precisar recuperar em outro dispositivo

o ideal é fazer uma passphrase que seja fácil de anotar e sem muita loucura, não crie algo tão complexo que nem mesmo vc consiga entrar depois, isso é um erro grave e motivo de muitas perdas

já o pin, diferente da seedphrase e da passphrase que fazem parte da chave privada, da criptografia propriamente dita da sua chave na rede bitcoin, o pin não faz parte da chave privada e da rede bitcoin, ele é apenas uma senha do seu dispositivo, no caso a ledger, pra se alguém tiver acesso físico a ela não conseguir acessar, o pin protege seu disposito mas não seu saldo de btc

e o mais importante seria vc aprender fazendo diversas vezes com uma carteira do zero sem mexer na sua que já tem o saldo, mas pra isso precisaria reservar um valor baixo, tipo uns 50 reais, pra que se vc fizer besteira vc perde esse dinheiro apenas

se o saldo que vc tem na legder vc considera grande tome muito cuidado em ficar mexendo e mudando as coisas sem necessidade, é melhor aprender mexendo com pouco dinheiro, se errar perde pouco, treine bastante com pouco dinheiro antes de movimentar um valor grande

eu não sei se vc tem o backup da carteira na ledger feito de forma correta, se tiver vc poderia criar outra carteira ledger do zero pra treinar, mas pelo amor de deus não vai mexer e apagar tudo sem ter o backup!

assista tutorias da legder no youtube e treine com pouco dinheiro, e jamais exponha sua seedphrase e passphrase em um dispositivo online

um problema que acontece muito e tem a ver com o ocorrido é que muitas pessoas confundem autocustódia com ter coldwallet, o certo ao meu ver seria a pessoa entender como funciona e fazer autocustódia sem coldwallet, e ficar uns 2 anos fazendo autocustódia apenas com papel e celular velho offline ou computador velho offline, pra só depois comprar uma coldwallet, entender primeiro o que são chaves públicas e privadas, fazer diversas carteiras e transações e só depois disso gastar $ com uma coldwallet

a coldwallet é mais perigosa do que deixar em corretoras para pessoas que não sabem como funcionam as chaves e os elementos

e não adianta vc gastar 5000 reais numa coldwallet super equipada e bonitona se vc não souber fazer o backup físico das chaves fora dela, vc vai se lascar e perder tudo

@user1. Obrigado amigo
Vou estudar tudo com calma
Não tenho muito não..4m Sats

Até começo do ano eu deixava na trust wallet..esse ano coloquei na ledger 
24 palavras + pin
Não gerei a passphrase 

Mas tudo bem..conforme eu aumentar a quantidade vou investir mais em segurança..

Estou atento ao ocorrido, aparentemente não afetou ledger e trezor

Mas o bizarro eh que essa cold card tinha código aberto e ninguém notou o bug da entropia ( quer dizer..o hacker notou)

Uma dúvida ainda. Vi pessoas comentando de baixar o arquivo que contém todas as palavras chaves e sortear mecanicamente..dados, baralho etc..achei meio doideira, mas parece que seria mais seguro para quem tem grandes quantias 

Mas daí eu precisaria criar assim e depois recuperar na ledger? Pq na ledger eu só achei opção da própria criar as 24 palavras.. então, estamos na confiança de que essas empresas realmente não possuem o mesmo bug ocorrido agora

Podemos gostar de btc e até ser entusiasta

Mas isso foi algo muito sério e triste..pessoas que entendem + do que eu, que tem muito e simplesmente perderam tudo

Triste de ler os relatos..abs

@extimido geralmente as carteiras tem 2 opções na entrada: criar carteira (aí ela vai gerar as palavras com entropia dela, que pode ter defeito como no ocorrido), ou importar seedphrase/carteira (aí vc pode colocar as suas palavras que vc gerou de forma mecânica e com entropia forte)

mas se não tem a opção de importar vc pode colocar 24 palavras deles mesmo e a passphrase que tá ótimo

o que vc falou acho correto, vai aumentando a segurança de forma progressiva, se vc tem $100 danesse rs, não precisa de nada, ngm vai atrás disso

agora o pessoal do hack já tava com um valor alto

conforme vc aumentar um zero à direita vc aumenta uma camada de segurança

é triste mesmo, embora alguns tenham vacilado e faltou mais conhecimento eles confiaram na empresa

vamos ver depois o que a investigação vai concluir

abçs tmj

 @user1 vlw meu caro
Ano que vem vou adicionar a passphrase. Acho que comecei a compreender. Além das 24 palavras terei mais uma , criada por mim.

Bem legal. Muito obrigado 

postado por @Bastter em 31/07/2026 20:58:21

user1 obrigado pela resposta
quem tem muito o ideal nao seria diversificar em 3 wallets ou algo assim?

sim, o ideal é dividir, tanto para se proteger de nós mesmos, de alguma burrice ou acidente, quanto pra diminuir o pote de mel (um hacker que esteja monitorando a rede é menos atratativo e mais custoso tentar atacar múltiplos endereços com poucos satoshis espalhados do que um único endereço com um valor alto concentrado)

a pessoa pode começar com uma carteira e estipular um valor x que quando ultrapassar ela começa uma segunda e assim vai

No final acaba sendo triste, era uma carteria que o usuário médio não teria como saber se teria alguma falha nesse nível... Ninguém sabe se uma trezor ou uma ledger tem alguma vulnerabilidade que sera descoberta no futuro..
Sempre tenho a impressão que quando todos os bitcoin forem minerados (ou a sua maioria), será o momento onde será colocado a prova toda a seguranca das carteiras e corretoras...

postado por @Innervisions em 31/07/2026 16:04

Então parece que foi um bug na geração da seed phrase dessa coldwallet especificamente, a entropia da seed era menor do que o esperado e essas carteiras não tinham passphrase
Alguns pontos:
- quem perdeu os btcs fez tudo certo e era entusiasta. Carteira offline airgaped. Mas o codigo estava bugado. já era.
- esse ataque prova que a força bruta está aumentando exponencialmente. O bug tem 5 anos, só conseguiram explorar agora
- ainda não terminou

Ainda bem que é simples.