Parte IV - Zero

Por Jeff

Blockchain do Bitcoin, 30 de julho de 2026, 01h10 UTC. Não há cidade, não há sala, não há rosto. Há apenas um bloco sendo minerado a cada dez minutos, como sempre, e dentro de quatro desses blocos consecutivos, entre 01h10 e 01h51 UTC, menos de quarenta e um minutos de transações que qualquer pessoa no mundo podia observar em tempo real sem entender o que estava vendo. 1196 endereços, gerados por dispositivos Coldcard, hardware wallet fabricado pela canadense Coinkite e vendido havia anos como o padrão ouro da autocustódia Bitcoin, foram esvaziados em sequência, 1324 UTXOs consolidados em apenas quatro endereços de destino. 1082 bitcoins, algo perto de setenta milhões de dólares no preço daquele dia, saíram de carteiras que seus donos acreditavam protegidas exatamente pela ausência de qualquer intermediário confiável.

À hora em que a primeira transação se confirmou, era meio da tarde na Ásia, início da noite na Europa, e a maior parte da América ainda dormia. Nenhum dono de Coldcard recebeu notificação, porque nenhum dispositivo Coldcard se conecta à internet para avisar seu proprietário de nada, essa é precisamente a arquitetura que faz dele um cofre e não um caixa eletrônico. O primeiro sinal de que algo havia mudado não viria de nenhum alarme técnico. Viria de gente checando o próprio saldo, por hábito ou por acaso, e encontrando zero onde deveria haver poupança de anos.

Não houve phishing. Não houve malware. Não houve acesso físico a nenhum dos dispositivos. O atacante não precisou tocar em nada.

Às 17h35 UTC daquele mesmo dia, Kevin Loaec, cofundador da Wizardsardine, empresa por trás da carteira Liana, pediu publicamente aos próprios seguidores que possuíssem um Coldcard que checassem seus saldos, escrevendo que esperava que aquilo fosse um alarme falso. Noventa minutos depois, o tom já era outro: não era um simulacro. Confirmações começaram a chegar de nomes que a comunidade Bitcoin reconhecia e confiava havia anos, o desenvolvedor conhecido como Grubles relatou um caso, Jameson Lopp, cofundador da Casa, relatou furtos parciais, endereços em que apenas parte do saldo havia sido retirada, não o total.

No dia seguinte, Rodolfo Novak, fundador e executivo-chefe da Coinkite, publicou um aviso que dispensava qualquer preâmbulo: quem tivesse gerado uma seed usando um Coldcard deveria mover os fundos imediatamente. A apuração cresceu a cada dia que passou. Em 4 de agosto, a firma de pesquisa on-chain Galaxy já contabilizava mil quinhentos e noventa e seis bitcoin confirmados, saídos de aproximadamente sete mil e trezentos endereços, distribuídos em três ondas principais mais catorze incidentes menores, com uma estimativa, incluindo casos suspeitos ainda não confirmados, que se aproximava de dois mil bitcoin, algo perto de cento e trinta milhões de dólares. A maior firma de segurança que cobre o setor chamaria o episódio de o golpe mais duro já sofrido pela autocustódia de Bitcoin. A apuração seguia em curso, e o número, quase certamente, ainda cresceria.

A causa não estava em nenhuma falha do protocolo Bitcoin. Estava numa única linha de código, alterada num único commit, em primeiro de março de 2021.

Naquele dia, durante uma migração de rotina para a biblioteca criptográfica libsecp256k1, alguém trocou a chamada que gerava a semente da carteira, que antes ia buscar aleatoriedade genuína no chip dedicado de hardware do próprio dispositivo, por uma chamada alternativa que passava por um caminho de software considerado defeituoso. Um sinalizador de configuração, chamado MICROPY_HW_ENABLE_RNG, foi ajustado para zero. A biblioteca responsável por interpretar esse sinalizador verificava apenas se ele existia no código, não se estava de fato ativado, e como zero ainda conta como um valor definido, a verificação de segurança passava sem alarme e a compilação seguia adiante sem erro visível. O resultado era uma rota alternativa de geração de números pseudoaleatórios, um gerador chamado Yasmarang, que partia de dados fixos do próprio dispositivo, o identificador único do chip e o estado do relógio interno no momento da inicialização, e nunca coletava entropia nova depois disso. A própria biblioteca ainda tentava mascarar o problema combinando essa saída com uma segunda instância do mesmo gerador, semeada com constantes escritas diretamente no código-fonte, idênticas em todo Coldcard já fabricado. Combinar duas fontes de aleatoriedade previsíveis não produz uma terceira imprevisível. A equipe de engenharia da Block, que publicou a primeira análise técnica detalhada, e a própria Wizardsardine, que reconstruiu o mesmo caminho de forma independente, chegaram à mesma conclusão. Nos modelos Mk2 e Mk3, a entropia efetiva da chave, projetada para cento e vinte e oito bits, havia colapsado para algo perto de quarenta. Nos modelos mais recentes, Mk4, Mk5 e Q, uma tentativa parcial de correção feita em 2022 elevava esse número a cerca de setenta e dois bits, ainda muito abaixo do alvo, mas ordens de magnitude mais difícil de atacar do que os quarenta bits dos modelos mais antigos, o que explica por que a operação de julho se concentrou quase inteiramente nos dispositivos Mk3.

Novak explicou depois que havia configurado aquele sinalizador para zero por acreditar que nenhuma das duas versões do gerador de números aleatórios seria necessária. Não era isso o que o código de fato fazia. Num comunicado técnico publicado em primeiro de agosto, a própria Coinkite admitiu que o dispositivo vinha jogando dados viciados havia oito anos sem que ninguém percebesse.

Há um detalhe que só veio à tona numa reconstrução posterior do histórico público do código, e que complica qualquer leitura simples de acidente isolado. O firmware da Coldcard usava o gerador de números aleatórios de hardware em sete rotinas diferentes. Cinco delas permaneceram exatamente como estavam, lendo o gerador físico, e continuam lendo até hoje. Apenas duas foram migradas para o novo caminho de software, a geração da semente da carteira e o módulo compartilhado de aleatoriedade que a alimenta, as duas rotinas mais críticas de todo o dispositivo. O desenvolvedor que primeiro documentou essa migração a partir do histórico público do repositório, Alekos Filini, foi cuidadoso ao descrever o que isso significa, e continuou sendo cuidadoso quando questionado diretamente sobre se a mudança havia sido deliberada. Recusou-se a afirmar isso. Ofereceu duas leituras possíveis, sem escolher entre elas: pode ter sido um desenvolvedor pulando de um trecho de código a outro sem prestar atenção suficiente, ou pode ter sido uma escolha consciente, feita por alguém genuinamente convencido de que a nova biblioteca era superior, sem perceber que a estava destruindo. O que Filini afirma como fato é apenas que essas duas rotinas foram tratadas de forma diferente das outras cinco. O que isso significa, o próprio registro não resolve.

Oito dias depois do commit, em 9 de março de 2021, um usuário leu as notas de lançamento do firmware em versão beta, notou uma linha mencionando que todo o código relacionado a BIP39 havia sido substituído, e perguntou diretamente sobre isso, publicando uma captura de tela da frase exata. A conta que havia assinado o commit, identificada publicamente como doc-hex, respondeu na mesma noite: o código havia sido substituído por algo funcionalmente equivalente, com melhorias adicionais. O usuário perguntou se o guia da empresa para verificação de sementes geradas por dados continuava válido. A resposta foi curta e direta, confirmando que sim, sem hesitação. Sobre os dados, doc-hex estava certo, esse caminho nunca foi tocado pela regressão. Sobre a equivalência funcional, estava errado, porque para a função mais importante que o dispositivo tinha, o código não alcançava mais, de forma confiável, o hardware.

Duas contas atravessam essa história desde o início. Uma é doc-hex, que assinou o commit e respondeu por ele publicamente. A outra é switck, dona da biblioteca libngu que o commit trouxe para dentro do projeto. Em outubro de 2020, switck havia anunciado essa biblioteca publicamente, dizendo apenas ter feito algo útil. Dias antes, havia escrito a doc-hex que estava construindo mais uma biblioteca Bitcoin que talvez fosse útil para a Coldcard um dia. doc-hex e switck são a mesma pessoa, e essa pessoa é Peter D. Gray, cofundador e diretor de tecnologia da própria Coinkite. Não é especulação. O desenvolvedor Dylan LeClair identificou a coincidência ao cruzar assinaturas criptográficas GPG usadas em dezenas de commits assinados sob os dois nomes com a assinatura pessoal conhecida de Gray. O desenvolvedor Bitcoin James O’Beirne verificou a correspondência de forma independente. Zach Herbert, fundador da concorrente Foundation Devices, encontrou ainda um número de telefone terminando nos mesmos dois dígitos associado às duas contas, e um perfil na plataforma Clarity.fm listando Gray como cofundador e diretor de tecnologia da Coinkite. A identificação está sobredeterminada, apoiada em evidências independentes que apontam todas para a mesma direção. Antes de publicar, o autor da investigação enviou perguntas diretas à Coinkite, a Novak e ao próprio Gray, perguntando se a empresa contestava que as contas switck e doc-hex pertenciam a Gray. A mensagem enviada a Novak foi lida e nunca respondida. Um atendente da Coinkite confirmou o encaminhamento das perguntas por e-mail à empresa. Nenhuma resposta chegou antes do fechamento da reportagem. A Coinkite não contestou a identificação, e teve a oportunidade de fazê-lo.

Há uma cena dentro dessa história que resume, sozinha, o problema inteiro. Em 21 de outubro de 2020, uma questão foi aberta no repositório de switck, perguntando se contribuições de código externas eram aceitas. Quem abriu a questão foi a conta doc-hex, identificada pelo próprio repositório como colaboradora externa, escrevendo como quem chega de fora, dando as boas-vindas a si mesma ao mundo do código aberto e perguntando se a licença MIT permitiria usar aquele código, todo ele, em projetos como a Coldcard. A conta switck, identificada como dona do repositório, respondeu fechando a questão, e um instante depois acrescentou que dependia apenas de submeter o pedido formal. A troca inteira, da pergunta ao fechamento, durou cerca de oito minutos. Gray perguntava a si mesmo se podia usar o próprio código, e a si mesmo respondia que sim. Quando o firmware 4.0.0 foi lançado, em março de 2021, as notas oficiais de lançamento agradeceram publicamente a switck pela nova biblioteca. A empresa agradecia ao próprio diretor de tecnologia, sob pseudônimo, como se fosse um colaborador externo generoso, num documento que continua publicado até hoje sem correção. O que essa encenação prova é limitado, prova que Gray fabricou uma origem externa para uma biblioteca que era inteiramente sua. Não prova que ele sabia que ela estava quebrada, nem por que quis criar essa distância.

Para entender por que o diretor de tecnologia de uma fabricante de hardware wallets sentiria necessidade de encenar uma permissão de código aberto para si mesmo, é preciso voltar a julho de 2020. Naquele mês, a Foundation Devices anunciou a Passport, uma nova carteira de hardware, construída abertamente sobre o firmware da própria Coldcard, então publicado sob licença GPL versão 3, a mesma licença copyleft que a própria Coldcard havia usado anos antes ao se apoiar em código aberto da Trezor. Dois dias depois, Novak reagiu publicamente, lamentando ter escolhido a GPLv3 e descrevendo o produto da concorrente como um clone sem nenhuma contribuição em código ou em dinheiro. Essa publicação foi depois apagada, mas sua existência está preservada em capturas de tela anteriores à remoção. Novak cumpriu o que prometeu naquele post. Em novembro de 2020, a Coldcard passou a adotar uma licença MIT combinada com a chamada Commons Clause, permitindo leitura do código mas proibindo a venda de produtos substancialmente baseados nele, uma combinação que a própria cláusula reconhece explicitamente não ser código aberto. A última peça de código sob GPL a ser removida foi justamente a biblioteca criptográfica herdada da Trezor, e foi exatamente essa remoção que o commit de março de 2021 executou. A biblioteca que a substituiu, o libngu de switck, havia sido ela mesma relicenciada, em 5 de fevereiro de 2021, três semanas e meia antes de ser incorporada à Coldcard, de uma licença MIT padrão para uma licença personalizada batizada de uso exclusivo para Bitcoin, com uma cláusula proibindo explicitamente seu uso em qualquer sistema que lidasse com outra criptomoeda. Semanas antes, em agosto de 2020, Novak já havia declarado publicamente estar cogitando criar uma licença nova para lidar com o que chamou de comportamento predatório do código aberto, brincando com um nome ofensivo para batizá-la. Zach Herbert, que reconstruiu boa parte dessa cronologia e teria todos os motivos para forçar a conclusão mais dramática possível, não o fez. Sua formulação foi comedida: não é possível saber o quanto a pressão do licenciamento afetou o escopo ou o cronograma do rewrite, apenas que o bug de entropia foi introduzido dentro do mesmo commit de cento e vinte arquivos que removeu as dependências antigas ligadas à GPL. Um rewrite apressado, motivado em parte pelo desejo de se livrar de uma licença, carregando também objetivos técnicos genuínos, que por acaso introduziu uma falha catastrófica que ninguém percebeu, é a descrição de negligência sob pressão, não de sabotagem deliberada. Nada nessa história de licenciamento, isoladamente, prova que alguém quis enfraquecer a carteira.

A operação de julho de 2026 não foi obra de um único hacker digitando comandos manualmente. O atacante operou inteiramente por scripts automatizados, evidenciados pela taxa de transação uniforme, trinta satoshis por byte virtual em cada uma das transações, de trinta a setenta e cinco vezes acima da taxa média praticada naquele dia, um valor alto o suficiente para garantir inclusão imediata no próximo bloco e neutralizar qualquer tentativa de vítimas ou serviços de monitoramento de usar substituição de taxa para tentar recuperar os fundos primeiro. O atacante também aplicou um piso de rentabilidade, nenhum endereço com menos de zero vírgula quinze bitcoin foi tocado, o que sugere otimização deliberada de poder computacional, já que testar cada semente candidata contra o histórico da blockchain tem custo, e não valia a pena gastá-lo em saldos pequenos demais. A perda mediana por vítima foi de zero vírgula quarenta e um bitcoin, a maior perda individual chegou a vinte e nove vírgula nove bitcoin, perto de dois milhões de dólares. Mil cento e oitenta e três dos mil cento e noventa e seis endereços atingidos na primeira onda eram do tipo Native SegWit, o formato mais comum entre usuários que seguem as práticas recomendadas atuais, contra um número marginal de formatos mais antigos, sinal de que o atacante havia otimizado o próprio processo de busca para os caminhos de derivação mais usados. Nenhum endereço multisig e nenhum endereço taproot apareceu entre as vítimas.

Nem todo mundo perdeu. Sementes geradas com o método de dados físicos, jogados manualmente pelo menos cinquenta vezes, ou protegidas por uma frase-senha BIP-39 forte e única, misturavam entropia real que o software defeituoso não tinha como contaminar, e a própria Coinkite confirma que essas sementes não foram comprometidas por essa falha específica. A ironia mais cruel do episódio é justamente essa: a Coldcard construiu sua reputação em torno de um guia próprio, o chamado guia paranoico, instruindo o usuário mais cuidadoso a nunca conectar o dispositivo a nenhum computador durante toda a sua vida útil, trocando dados exclusivamente por cartão SD. Numa entrevista em fevereiro de 2021, Novak explicava a lógica desse isolamento total, o ponto de operar sem conexão nenhuma é que, mesmo que um atacante conheça uma vulnerabilidade, ele não consegue alcançá-la remotamente. Contra a falha que de fato chegou, esse modelo inteiro de segurança não fez a menor diferença. O atacante nunca precisou se conectar a nada. A semente já era adivinhável a partir de dados públicos da própria blockchain.

Jameson Lopp acrescentou uma camada final ao problema, menos técnica, mais administrativa, e talvez mais devastadora. A própria Coinkite apaga registros de clientes após cento e vinte dias, política originalmente pensada para proteger compradores contra vazamentos de dados, mas que produziu aqui um efeito colateral cruel, a empresa não tinha mais como contatar diretamente boa parte das pessoas que haviam comprado dispositivos vulneráveis ao longo dos cinco anos anteriores para alertá-las antes que fosse tarde. O desenvolvedor pseudônimo conhecido como calle resumiu o sentimento generalizado da comunidade numa frase seca: disse estar profundamente triste por todos os afetados, especialmente aqueles que talvez tenham perdido as economias de uma vida inteira, e que a parte mais dura era que essas pessoas haviam feito tudo certo.

Ido Ben-Natan, cofundador e executivo-chefe da Blockaid, empresa de segurança para ativos digitais, resumiu o problema numa frase seca: a segurança de uma hardware wallet depende, em última instância, do firmware e dos sistemas com que o usuário interage sem nunca conseguir ver.

O firmware que deveria ter sido a última linha de defesa entre um usuário e a rede aberta permaneceu, por cinco anos, publicamente auditável, com uma pergunta e uma resposta preservadas num repositório mostrando que alguém já havia perguntado exatamente a coisa certa oito dias depois de o problema nascer. A Coinkite teve, entre a pergunta de março de 2021 e a manhã de 30 de julho de 2026, mais de duas mil semanas para responder de novo, com mais cuidado. Quando finalmente questionada, diretamente, por escrito, sobre por que as duas rotinas mais sensíveis do dispositivo foram exatamente as que saíram do hardware, a empresa preferiu não responder.

Leia agora a Parte V - Efeito em Cascata

Entre no grupo no Whatsapp

Eu quero apoiar a Pleb's

🏦 PIXGO — Tudo que você precisa para vender e receber via PIX sem conta bancária. Infraestrutura completa para qualquer tamanho de negócio.

💸 SATS CASHBACK — Transforme suas compras em Bitcoin. Navegue pelas +500 lojas parceiras e clique na que você quer comprar.

🇵🇾 MOSHE INTERNACIONAL — Assessoria em Internacionalização, Planejamento Tributário, Holding, Offshore e Visto para o Paraguai.

A investigação mais completa sobre a origem técnica e humana da falha, incluindo a identificação de switck e doc-hex como Peter Gray, a cronologia do commit de 1 de março de 2021, a troca de mensagens de outubro de 2020, o contexto de licenciamento envolvendo a Foundation Devices e a Passport, e o direito de resposta enviado à Coinkite sem retorno, está em hodlonaut, “The Paranoid Wallet: For five years, the most trusted wallet in Bitcoin generated keys an attacker could guess”, Citadel21 (7 de agosto de 2026). Os números atualizados do ataque em 4 de agosto, mil quinhentos e noventa e seis bitcoin confirmados de cerca de sete mil e trezentos endereços, estão na mesma fonte, citando dados da Galaxy Research. Os detalhes técnicos da execução do ataque, incluindo a taxa de transação de trinta satoshis por byte virtual, o piso de zero vírgula quinze bitcoin, a perda mediana e a distribuição por tipo de endereço, estão em análise on-chain publicada em “ColdCard Hack: O Bug que Quebrou o Cofre” (2 de agosto de 2026). A cronologia das primeiras horas, incluindo as publicações de Kevin Loaec, grubles e Jameson Lopp, está em “The Coldcard Hack: A Timeline of the $38M Entropy Failure”, Bitcoin Well Blog (agosto de 2026). O comentário de Jameson Lopp sobre a purga de registros de clientes após cento e vinte dias e a citação de calle estão em “The Coldcard Exploit Explained: Who Lost Bitcoin and Who’s at Risk”, Bitcoin.com News (agosto de 2026). A citação de Ido Ben-Natan, cofundador e executivo-chefe da Blockaid, está em Boaz Sobrado, Forbes (4 de agosto de 2026).