Firmware novo da Coldcard chega, mas o risco das seeds antigas fica

A Coinkite liberou nesta sexta-feira o firmware corrigido para a falha de entropia na geração de seeds das Coldcard, as frases que dão acesso aos fundos. O comunicado lista as versões seguras de cada modelo e começa a fechar o capítulo aberto na quinta-feira, quando a varredura de 594 BTC, detalhada na matéria de hoje mais cedo, colocou a fabricante sob investigação.

Para o Mk3, a versão exigida é a 4.2.0 ou superior. Mk4 e Mk5 pedem a 5.6.0, e o Coldcard Q, a 1.5.0Q.

Os números da investigação seguem em aberto, e o total confirmado on-chain até aqui continua sendo o da varredura inicial de 594,48 BTC. Os investigadores seguem mapeando carteiras atingidas e o método usado na exploração, sem conclusão oficial até o momento.

O detalhe mais importante do comunicado, porém, é o que ele não promete. Atualizar o firmware não repara uma seed já gerada.

O que o comunicado muda

O que muda para quem está no grupo de risco é a existência de uma saída. O comunicado confirma as versões corrigidas para todos os modelos, e o Mk3, o mais atingido, ganhou na 4.2.0 a capacidade de gerar uma seed substituta corretamente, sem depender de um segundo aparelho. Para quem usou Mk4, Mk5 ou Q antes das versões seguras, vale o aviso publicado na matéria anterior, de que a seed antiga segue comprometida e a migração é obrigatória.

O aviso alcança também quem usa multisig. O desenvolvedor do Bitcoin Core Peter Todd advertiu que, em uma carteira 2-de-3 com duas Coldcards, mover os fundos revela o script e dá ao atacante a chance de competir pela transação.

A Coinkite, por sua vez, prometeu apoio aos atingidos. O co-fundador NVK afirmou que a empresa vai colaborar com boletins de ocorrência, seguros e investigações dos clientes.

No mesmo texto, NVK ofereceu a leitura do momento. Revisão de código assistida por IA, disse ele, encontra defeitos ocultos em velocidade que supera a dos especialistas mais experientes, e qualquer firmware de código aberto deve ser tratado como se já estivesse sendo lido por atacantes. O bug passou cinco anos escondido na geração das chaves.

A confiança em exame

Para quem confia uma fração da poupança a uma carteira física, o episódio recoloca uma pergunta incômoda.

A promessa central é que a chave privada nunca sai do aparelho. Ela foi cumprida, e ainda assim os fundos sumiram, porque o problema estava um degrau acima, na geração da própria seed. A aleatoriedade falhou dentro da fábrica, não na ponta, e o mercado aprendeu que essa camada exige auditoria.

A Coldcard construiu a reputação de ser a carteira de quem desconfia de tudo, e a falha atingiu justamente esse público. Para esse usuário, o incidente pesa mais do que um bug comum, porque atinge a premissa que o levou a escolher a marca. Códigos corrigidos restauram o funcionamento, mas premissas quebradas demoram mais para voltar, e é essa conta que o mercado vai cobrar de todas as fabricantes.

A expectativa é que outras fabricantes passem pelo mesmo crivo. Em uma discussão pública no X Spaces que durou horas na noite de quinta-feira, projetos de código aberto foram apontados como os próximos alvos de auditoria.

A Coinkite sai na frente na resposta, o que separa reputação de crise. Reconheceu o problema no dia em que a varredura veio à tona, publicou guia de migração e liberou o firmware corrigido em menos de 48 horas. Nenhum fabricante de carteiras físicas passou por um teste tão público, e o mercado observa se a transparência vira confiança ou mancha permanente.

A autocustódia é uma transferência de risco, e o episódio mostrou para onde ela aponta quando o hardware falha.

A confiança em carteiras físicas não se reconstrói com promessas, mas com auditoria, código aberto e respostas rápidas como a desta sexta-feira. O caso dos 594 BTC mostrou que a reputação de uma fabricante vale o que sua aleatoriedade vale, e que a transparência é o único caminho de volta.