Evidência aponta código do hack da Coldcard ao CTO da Coinkite

Uma análise publicada em agosto pelo desenvolvedor de Bitcoin James O’Beirne liga o código defeituoso por trás da falha da Coldcard ao cofundador e diretor de tecnologia da Coinkite, Peter Gray. O trabalho, porém, é uma alegação baseada em evidências, e a empresa ainda não respondeu publicamente ao vínculo de identidade.

O rastro das assinaturas

O que sustenta a suspeita são os registros dos commits.

Segundo O’Beirne, 58 commits feitos sob o pseudônimo switck no repositório libngu carregam assinaturas válidas da chave pessoal de Gray. A conta switck nunca publicou uma chave própria, o que, na leitura do pesquisador, ligaria as duas identidades à mesma pessoa.

A libngu é a biblioteca no centro da vulnerabilidade.

O código, apresentado como uma dependência externa, era puxado pelo firmware de produção da Coldcard. A empresa de segurança Wizardsardine listou a libngu como um dos três repositórios envolvidos na falha.

O defeito em si já era conhecido e documentado. A falha estava em um guard de preprocessador que fazia a geração de sementes cair para um gerador por software, em vez do módulo de hardware. Isso reduziu a entropia das seeds e permitiu que atacantes as recriassem offline.

O problema entrou no código em março de 2021 e permaneceu sem revisão por mais de cinco anos. As ondas de roubo atingiram mais de 5.200 endereços, com valores entre US$ 114 milhões e US$ 116 milhões, segundo a Galaxy Research.

A parte mais sensível da análise é o aviso ignorado. O’Beirne afirmou ter alertado a Coinkite sobre o defeito em maio de 2025, mais de um ano antes do primeiro roubo. Ele relatou que a indicação foi descartada, e a biblioteca permaneceu no lugar.

O que ainda não foi confirmado

O vínculo com o CTO segue sem resposta oficial. A Coinkite reconheceu a falha de entropia e enviou um firmware de emergência, mas não emitiu resposta pública sobre a identidade do autor do código.

É importante deixar claro o status dessa alegação. A conexão entre a conta switck e Peter Gray é uma hipótese de O’Beirne, baseada em evidências criptográficas, e não uma condenação. O pesquisador admite que ainda não contou a história completa.

A investigação ganhou apoio independente. O analista Dylan LeClair e outros pesquisadores disseram ver consistência na correlação das assinaturas.

O debate sobre autocustódia voltou ao centro. O caso reabriu a discussão sobre os limites da guarda própria de bitcoin. Especialistas ponderam que a falha é de uma implementação específica, e não um veredito contra a autocustódia.

Para os usuários, a orientação permanece a mesma. Quem criou uma semente em firmware afetado deve tratá-la como comprometida e migrar os fundos. Carteiras com passphrase forte ou em multisig não foram atingidas.

O que chama a atenção é a questão de governança. Uma biblioteca de segurança crítica mantida sob uma identidade alternativa é um ponto que o caso levanta, ainda que a ligação com o CTO precise de resposta formal. A pergunta sobre quem aprovou o código segue em aberto.

O episódio segue como um dos maiores roubos de autocustódia da história. Com o ataque ainda em andamento, a pergunta é se a empresa vai se pronunciar sobre o vínculo apontado por O’Beirne.