O roubo de Bitcoin de carteiras de hardware Coldcard comprometidas ainda está em curso, com pesquisadores agora rastreando perdas de aproximadamente US$ 88 milhões e alertando que todos os dispositivos vulneráveis serão eventualmente esvaziados.

A Galaxy Research disse no sábado que identificou uma terceira onda de roubos, na qual 207,73 BTC foram drenados, elevando seu total observado para cerca de 1.367 BTC — aproximadamente US$ 88,6 milhões — em 4.585 endereços. A empresa chamou o exploit de contínuo e instou qualquer pessoa que possua fundos de assinatura única em uma Coldcard a movê-los imediatamente. A Galaxy disse que sinalizou cerca de 600 endereços de atacantes suspeitos a investigadores federais, empresas de compliance e investigadores cibernéticos intersetoriais, creditando as vítimas que compartilharam detalhes das transações por ajudar a mapear os padrões on-chain.

“Continuo a investigar e adicionar novos endereços de vítimas e atacantes Coldcard ao nosso banco de dados de investigação”, publicou Alex Thorn, chefe de pesquisa da Galaxy, no X. “O ataque está em andamento – mova seus fundos dos endereços gerados pela Coldcard imediatamente, se ainda não o fez.”

A falha, como a Decrypt relatou anteriormente, decorre de um erro de construção de firmware em março de 2021 nos dispositivos da Coinkite que fez com que as frases semente fossem geradas com pouquíssima aleatoriedade, deixando as chaves privadas adivinháveis. Thorn escreveu que as drenagens parecem deliberadas e programáticas, provavelmente orquestradas com um modelo de linguagem grande (LLM), e alertou que todo endereço Coldcard de assinatura única criado após essa atualização de 2021 será eventualmente esvaziado, dizendo que é apenas uma questão de tempo.

Thorn observou que as moedas roubadas ficaram intocadas por anos antes de serem levadas — uma dormência média de 3,18 anos — sublinhando que as vítimas eram detentores de longo prazo. Os fundos das três ondas documentadas permanecem estacionados em endereços de atacantes e não foram movidos.

As consequências impulsionaram uma resposta de pânico por parte dos usuários afetados, com especialistas em segurança pedindo cautela ao mover fundos para novos endereços. Muitos dos usuários afetados estão correndo para mover Bitcoin de sua autocustódia de volta para corretoras de criptomoedas centralizadas, como Coinbase ou Binance, ou para endereços recém-gerados — uma inversão do ethos usual da indústria "não são suas chaves, não são suas moedas".

Para alguns, os avisos chegaram tarde demais. O coach canadense Jonathan Goodman disse em uma postagem no X que 18,25 BTC, no valor de cerca de 1,6 milhão de dólares canadenses, foram drenados de suas carteiras em um período de sete minutos em 29 de julho, apesar de suas chaves estarem em um cofre que nunca foi conectado à internet. "Talvez a parte mais difícil disso seja que eu fiz tudo certo", escreveu ele, acrescentando que está registrando relatórios com a polícia e a Ontario Securities Commission.