Hack Coldcard: o ladrão da vaga 1 já seria conhecido do FBI

Mais de 1 082 BTC roubados, ainda intactos no endereço do hacker. Uma pista concreta que remonta a uma conta paga junto de um fornecedor de dados blockchain. E uma questão que paira no ar: trata-se de um atacante externo sofisticado, ou de um insider que conhecia a falha há anos?

O caso Coldcard ganha uma nova dimensão. Segundo os investigadores da Block e as análises de Alex Thorn na Galaxy Research, a identidade do hacker responsável pela primeira e mais massiva vaga de drains poderá já ser conhecida das autoridades americanas. Um cenário que deixa em aberto a possibilidade de reembolso das vítimas — desde que os fundos permaneçam congelados.

Eis o que se sabe, e o que os dados on-chain revelam sobre um dos hacks de Bitcoin mais significativos de 2026.

1 082 BTC roubados, uma pegada digital que trai o hacker

A 30 de julho de 2026, um atacante começou a esvaziar metodicamente carteiras Coldcard que tinham gerado as suas seeds com firmwares vulneráveis — uma falha de entropia que permaneceu não detetada durante cinco anos, presente desde o MK2 com o firmware 4.0.1. A primeira vaga, a mais massiva, moveu 1 082,65 BTC numa única operação coordenada. As vagas seguintes elevaram o total estimado para mais de 2 000 BTC, o equivalente a cerca de 118 milhões de dólares confirmados roubados até ao momento.

Foi a equipa de engenharia da Block, através de Clay Garrett, que forneceu a pista mais sólida. Já a 31 de julho, Garrett publicava as conclusões da sua investigação: «Identificámos um padrão invulgar nos sweeps. Esse padrão conduziu-nos a uma hipótese entretanto confirmada: o operador utilizou uma conta paga junto de um fornecedor de serviços blockchain bem conhecido para consultar os endereços de origem e realizar outras atividades relacionadas durante os drains.» A Block contactou o fornecedor, cujos registos internos correspondem ao padrão do roubo com uma «especificidade extraordinária».

Alex Thorn, numa intervenção no canal de Bitcoin Magazine no YouTube, foi explícito: «A identidade do atacante da vaga 1 poderá já ser conhecida das autoridades.» Os 1 082,65 BTC da vaga 1 permanecem intactos no endereço do hacker — um detalhe crucial que mantém em aberto a possibilidade de recuperação dos fundos para as vítimas.

Falha de entropia ou ataque insider? A questão que muda tudo

Por detrás da perseguição ao hacker esconde-se uma interrogação ainda mais perturbadora: quem conhecia esta falha desde o início? A vulnerabilidade de entropia que afeta a geração de chaves privadas nos Coldcard MK2 e versões posteriores (firmware 4.0.1+) permaneceu inativa durante cinco anos. A própria Coinkite havia mencionado publicamente o risco de uma «retirement attack» — um cenário em que um insider exploraria uma backdoor no momento de abandonar a empresa.

Esta hipótese não está descartada. A precisão cirúrgica dos sweeps, o aparente conhecimento dos endereços vulneráveis e a utilização de uma conta profissional junto de um fornecedor de dados blockchain apontam para alguém com uma expertise técnica avançada — e potencialmente com acesso privilegiado a informação interna. A vaga 2, que acrescenta cerca de 76 BTC adicionais ao total, apresenta um padrão suficientemente semelhante para que Alex Thorn considere tratar-se do mesmo ator.

O ataque está ainda em curso. A Coinkite publicou um aviso urgente: qualquer utilizador de um Coldcard MK2 ou superior com firmware 4.0.1 ou posterior deve verificar os seus fundos e movê-los imediatamente. Mais de 5 000 endereços foram comprometidos segundo as estimativas atuais, e os relatos de novas vítimas continuam a surgir. A janela para agir permanece aberta — mas está a fechar-se.