Hack Coldcard: perto de 114 milhões de dólares em Bitcoin ameaçados pela IA

A self-custody de Bitcoin, durante muito tempo apresentada como o derradeiro escudo contra os hacks de exchanges, encontra-se hoje na mira dos atacantes. Um incidente grave envolvendo carteiras Coldcard está a abalar a comunidade cripto.

As perdas potenciais aproximam-se agora dos 114 milhões de dólares — e a inteligência artificial estará no centro do mecanismo de ataque. Um sinal de alarme impossível de ignorar.

Análise aprofundada de uma ameaça que está a redefinir os padrões de segurança para os detentores de Bitcoin em self-custody.

Coldcard em turbulência: como funcionou o ataque?

A Coldcard é uma das hardware wallets mais conceituadas do ecossistema Bitcoin, muito apreciada pelos utilizadores avançados pela sua robustez e arquitetura air-gapped. Ainda assim, o incidente em curso demonstra que nenhum dispositivo é totalmente impermeável a ataques sofisticados.

De acordo com as primeiras informações disponíveis, o ataque não visa diretamente o firmware da carteira, mas explora vetores periféricos — potencialmente relacionados com ataques do tipo supply chain, com seed phrases comprometidas ou com interfaces de gestão de terceiros. O envolvimento da IA neste vetor de ataque representa uma rutura: as ferramentas generativas permitem agora conceber campanhas de phishing ultra-personalizadas, simular interfaces legítimas com uma precisão desconcertante ou automatizar ataques em larga escala contra alvos específicos.

Os fundos expostos ascenderiam a cerca de 114 milhões de dólares em Bitcoin, segundo os dados agregados por investigadores de segurança on-chain. Este valor coloca o incidente entre os mais significativos de 2025 no que diz respeito à comprometimento de carteiras não-custodiais.

A IA, nova arma ofensiva contra a cripto: o que muda realmente

A utilização da inteligência artificial em ciberataques a criptomoedas já não é uma hipótese teórica. Relatórios recentes de empresas como a Chainalysis e a CertiK documentam uma escalada das ferramentas de IA no arsenal dos hackers: geração de sites falsos de exchanges, deepfakes de áudio e vídeo para usurpar a identidade de projetos legítimos e, agora, a identificação precisa de detentores de hardware wallets.

No caso Coldcard, a IA terá permitido industrializar a engenharia social — identificando automaticamente perfis com elevado património cripto nas redes sociais, em fóruns especializados ou em bases de dados vazadas, para lhes enviar comunicações fraudulentas perfeitamente calibradas. Este nível de personalização estava até agora reservado a ataques APT (Advanced Persistent Threat) de origem estatal.

Para os detentores de Bitcoin em self-custody, as implicações são diretas:

• Nunca introduzir a seed phrase num dispositivo ligado à internet, independentemente da origem do pedido
• Verificar sistematicamente a integridade física da hardware wallet aquando da receção
• Desconfiar de qualquer comunicação — mesmo aparentemente oficial — que solicite uma ação urgente sobre a carteira
• Ativar a passphrase BIP39 como camada de segurança adicional

Qual o impacto na confiança na self-custody de Bitcoin?

Este incidente surge num contexto em que a self-custody regista um renovado interesse massivo, impulsionado pela desconfiança pós-FTX em relação às exchanges centralizadas. A máxima «not your keys, not your coins» convenceu milhões de utilizadores a repatriar os seus fundos para soluções não-custodiais. Mas a crescente sofisticação dos ataques coloca uma questão fundamental: a self-custody é acessível a todos os perfis de investidores?

Os especialistas em segurança são unânimes: a hardware wallet continua a ser a melhor proteção disponível atualmente — desde que sejam respeitados protocolos rigorosos. O verdadeiro elo fraco não é o dispositivo em si, mas o ambiente humano e digital que o rodeia. A IA amplifica este risco ao tornar os ataques sociais praticamente impercetíveis para um utilizador menos experiente.

A Coinkite, a empresa por detrás da Coldcard, ainda não publicou qualquer declaração oficial a detalhar os vetores explorados nem as medidas corretivas previstas. A comunidade Bitcoin aguarda respostas — e garantias — sobre a segurança de uma das suas ferramentas de referência.