Hack Coldcard: como os investigadores rastreiam os Bitcoin roubados

Uma carteira de hardware reputada como inviolável, vítimas a reportar perdas e investigadores que ainda lutam para quantificar a verdadeira dimensão dos danos. O hack Coldcard levanta questões fundamentais sobre a segurança das cold wallets.

Nenhum valor definitivo foi ainda estabelecido. As estimativas variam consoante as fontes, entre as declarações das vítimas e os resultados da análise on-chain — dois métodos que nem sempre convergem.

Por detrás deste caso esconde-se uma realidade frequentemente desconhecida: rastrear Bitcoin roubados é uma ciência por si só, tão rigorosa quanto complexa.

Um balanço ainda incerto: porque é que as perdas são difíceis de quantificar

Ao contrário dos hacks a protocolos DeFi, onde os smart contracts registam tudo de forma transparente, o roubo de Bitcoin através de uma hardware wallet deixa rastos mais fragmentados. Os investigadores baseiam-se principalmente em duas fontes de informação: as comunicações voluntárias das vítimas e a análise independente da blockchain.

O problema? Estas duas abordagens produzem resultados divergentes. Algumas vítimas nunca reportam as suas perdas — por vergonha, por desconhecimento dos recursos disponíveis, ou porque ainda ignoram que foram comprometidas. Outras, pelo contrário, sobrestimam as suas perdas ou confundem vários incidentes distintos. Esta assimetria de informação torna qualquer estimativa global particularmente arriscada.

Do lado da análise on-chain, os investigadores examinam os endereços Bitcoin associados às carteiras Coldcard sinalizadas como comprometidas. Procuram padrões de movimentação de fundos — transferências rápidas para mixers, consolidação de UTXOs suspeitos, ou encaminhamento para exchanges conhecidas pelo seu baixo nível de KYC. Sem uma lista exaustiva de endereços de vítimas, o perímetro exato do hack permanece uma aproximação.

A análise on-chain: a ciência que rastreia os fundos roubados

A análise on-chain é hoje a ferramenta central de qualquer investigação sobre um roubo de criptomoedas. Empresas especializadas como a Chainalysis, a Elliptic ou a CipherTrace dispõem de bases de dados massivas que permitem clusterizar endereços Bitcoin — ou seja, agrupar endereços que pertencem provavelmente à mesma entidade, com base em heurísticas de gasto comum (common input ownership).

Na prática, quando um atacante movimenta fundos roubados, deixa impressões digitais. Cada transação Bitcoin é pública e imutável na blockchain. Os investigadores conseguem assim reconstituir o caminho percorrido pelos fundos: desde a carteira comprometida até às tentativas de liquidação numa exchange centralizada, passando por eventuais passagens por serviços de mixing como a Wasabi Wallet ou protocolos CoinJoin.

A principal dificuldade reside nas técnicas de ofuscação utilizadas pelos atacantes. O recurso a mixers, a chain hops (conversão para outras criptomoedas e regresso ao BTC) ou a múltiplas carteiras intermediárias complica consideravelmente o trabalho de rastreio. Ainda assim, as taxas de resolução têm vindo a melhorar: segundo a Chainalysis, uma parte crescente dos fundos roubados acaba por ser identificada, mesmo meses após os factos.

Coldcard em questão: o que este incidente revela sobre a segurança das hardware wallets

O hack Coldcard tem um impacto ainda maior pelo facto de esta carteira ser historicamente considerada uma das mais seguras do mercado, sendo particularmente apreciada pelos Bitcoiners mais experientes e pelos detentores de montantes elevados. A Coldcard foi concebida para funcionar em air gap total — sem ligação USB ativa durante a assinatura das transações — o que a torna teoricamente impermeável a ataques remotos.

As primeiras análises sugerem que o vetor de ataque não seria uma falha no firmware do próprio dispositivo, mas potencialmente uma comprometimento a montante: ataque à cadeia de fornecimento (supply chain attack), phishing direcionado às seed phrases, ou exploração de uma vulnerabilidade no software complementar utilizado para gerar ou gerir as carteiras. Estas hipóteses aguardam confirmação pelas investigações em curso.

Este incidente recorda uma verdade fundamental da segurança em criptomoedas: a robustez de uma hardware wallet só tem valor se toda a cadeia de segurança for preservada — desde a geração da seed phrase até ao seu armazenamento físico, passando pelas práticas do utilizador. Um dispositivo inviolável não protege contra uma seed phrase fotografada ou guardada na cloud.