Um ataque atribuído a falhas na Coldcard teria drenado ao menos US$ 100 milhões em Bitcoin de carteiras físicas. 🔐₿ O choque: as vítimas buscavam justamente a autocustódia para ficar longe de riscos online. 🧵

Imagem indisponível

Segundo o relato, o problema não foi o Bitcoin nem o fato de a carteira estar offline. O ponto crítico estaria na criação das frases de recuperação: um processo previsível pode transformar uma proteção de 12 ou 24 palavras em algo explorável.

Uma seed phrase só é segura se nascer de entropia real: aleatoriedade suficiente para tornar tentativas inviáveis. Se há padrão na geração, criminosos podem usar exemplos conhecidos para reduzir brutalmente o universo de combinações possíveis.

Imagem indisponível

Isso desmonta um mito comum: hardware wallet não é um cofre mágico. Ela protege chaves contra malware e exposição à internet, mas a segurança final depende de firmware auditável, geração confiável de chaves e procedimentos rigorosos do fabricante.

A Coldcard teria menos de 2% do mercado, atrás de Ledger e Trezor. Mas esse dado não minimiza o caso: para cada pessoa afetada, a perda pode representar patrimônio acumulado por anos. Em cripto, um erro de design pode ser irreversível.

Imagem indisponível

O episódio também reabre uma discussão incômoda: autocustódia dá soberania, mas transfere ao usuário riscos técnicos que nem investidores experientes conseguem auditar sozinhos. Transparência de código, auditorias independentes e alertas claros não deveriam ser diferenciais.

A lição não é abandonar a autocustódia, nem confiar cegamente em corretoras. É desconfiar de promessas absolutas de segurança. Em um sistema sem estorno, aleatoriedade, revisão pública e responsabilidade de quem fabrica a ferramenta valem tanto quanto o BTC guardado.

Imagem indisponível