Análise de Coldcard

Não gere uma nova frase de recuperação em uma Coldcard antes de instalar o firmware corrigido para o seu modelo, e se a sua frase de recuperação atual foi criada em uma Coldcard antes desse firmware, leve seus bitcoins para uma nova. O próprio aviso da Coinkite é excepcionalmente claro sobre isso, e a falha por trás dele durou mais de cinco anos.

O que aconteceu: em março de 2021, a Coinkite transferiu o código de curva elíptica da Coldcard para a libsecp256k1 do Bitcoin Core por meio de uma biblioteca embarcada chamada libNgU. A criptografia era sólida; a compilação não. Um erro em tempo de link fez com que a chamada que deveria chegar ao gerador de números aleatórios de hardware fosse resolvida, em vez disso, para o gerador de software de uso geral do MicroPython, de modo que as frases de recuperação foram extraídas de muito menos aleatoriedade do que o projeto pretendia. A Coinkite estima o espaço de busca efetivo em cerca de 40 bits no Mk2 e no Mk3 e em cerca de 72 bits no Mk4, no Mk5 e no Q, contra uma meta de 128 bits, e classifica ambos os números como preliminares.

Duas exceções importam, e a Coinkite expõe as duas. Uma frase de recuperação criada com pelo menos 50 lançamentos de dados honestos, independentes e privados não corre risco por este problema sozinho, porque os dados forneceram a entropia que o dispositivo não forneceu: a Coldcard fazia o hash de cada lançamento junto com a entropia do dispositivo, e de 50 a 98 lançamentos contribuem com pelo menos 128 bits por si sós. E uma frase secreta BIP-39 forte e única é uma barreira independente que a entropia reduzida da frase de recuperação sozinha não supera, embora não repare nada, então a Coinkite continua orientando os usuários de frase secreta a migrar assim que for prático. TAPSIGNER, OPENDIME e SATSCARD usam bases de código diferentes e não são afetados.

Sobre o tamanho das perdas, o aviso da Coinkite não cita nenhum total em dólares ou em bitcoin. A TRM Labs publicou sua análise como o maior exploit de carteira de hardware de 2026, situando-o em cerca de US$ 116 milhões; a Galaxy Research situou o número em US$ 130 milhões e subindo. Trate esses valores como duas estimativas externas, e não como um número consolidado.

O que a Coldcard é, por baixo de tudo isso, não mudou: um assinador somente de bitcoin com dois elementos seguros de fornecedores distintos, firmware de código aberto reproduzível, PIN de coação e PIN de destruição, e assinatura por QR, microSD, NFC ou disco virtual, todos desativados por padrão. A Coinkite vende o Q por US$ 289 e o Mk5 por US$ 189, e afirma que as unidades novas são enviadas com firmware corrigido. Este registro está em cautela pela carga de migração que os proprietários carregam, não porque os elementos seguros falharam.