As perdas de Bitcoin roubado do massivo exploit da carteira Coldcard começaram a diminuir, mas o valor total de BTC subtraído continua a subir — e o pior pode ainda não ter acabado.
Essa é a última informação da Galaxy Research, a empresa de pesquisa em cripto que tem acompanhado o exploit desde o início. A empresa disse na quinta-feira que o exploit de recriação de seed da Coldcard já drenou mais de 1.778 BTC — aproximadamente US$ 112 milhões — e o valor final provavelmente será maior.
A Galaxy afirmou ter "confiança muito alta" na contagem, que inclui roubos confirmados e atribuídos a proprietários desde o início do ataque em 30 de julho, de acordo com seu thread contínuo no X.
"Os atacantes estão executando este ataque desde pelo menos a manhã de 30 de julho de 2026, recriando sistematicamente seeds geradas pela Coldcard e varrendo os fundos on-chain", escreveu a Galaxy Research.
Entre as ondas e pegadas confirmadas pela Galaxy, nenhuma mostra atividade após 6 de agosto. Isso não significa que o método parou de funcionar. Significa que os alvos fáceis se foram.
The bulk of funds have remained largely unmoved since stolen from victims. Of the at least 1,778 BTC that has been stolen, 1,531 BTC remains in attacker-controlled addresses unmoved. ~246 BTC has been moved by attackers after the theft, with 65% flowing into Coinjoin transactions… pic.twitter.com/OHjJkr1x6D
— Galaxy Research (@glxyresearch) August 14, 2026
Uma atualização de firmware em 2021 silenciosamente redirecionou a geração de seeds da Coldcard do seu chip de número aleatório de hardware para um substituto de software, colapsando a força da chave de 128 bits para tão pouco quanto 40. Os atacantes poderiam reconstruir as seeds a partir do número de série e do estado do relógio de um dispositivo, e então varrer as moedas sem recorrer a técnicas de phishing ou malware e até mesmo sem acesso físico aos próprios dispositivos.
A análise da Galaxy coloca a maior onda comprovada — Onda 1 — em 1.082,65 BTC retirados de 1.195 endereços nos primeiros minutos. Isso representou cerca de US$ 70,5 milhões em Bitcoin roubados na época.
A Pegada E, o maior cluster único confirmado pelo proprietário, levou 209,94 BTC (cerca de US$ 13,3 milhões) em 2.148 endereços; a Onda 3 levou 208,24 BTC (cerca de US$ 13,0 milhões) de 1.912. Em três ondas comprovadas e 41 pegadas menores, a empresa mapeia mais de 5.200 endereços drenados. Até o bloco 962.304 (dados de 13 de agosto), 1.499,27 BTC (quase US$ 93,9 milhões) permaneciam não gastos nas mãos dos atacantes.
Among the confirmed, high-confidence waves and footprints of attacker activity, none occurred after August 6. Additional victims continue to report to Galaxy Research (we've spoken to 190+ directly), helping us directly attribute losses and confirm additional footprints, but none… pic.twitter.com/8jEdFdJEog
— Galaxy Research (@glxyresearch) August 14, 2026
Do pequeno pedaço que a Galaxy consegue rastrear até um ponto final — 174,97 BTC — a maior parte foi para rodadas de privacidade de coinjoin, com pequenas quantias chegando à KuCoin e Jump Crypto.
A Galaxy conversou com mais de 190 vítimas diretamente para atribuir as perdas. "A diminuição das ondas de ataque provavelmente se deve a usuários vulneráveis terem migrado ou à maioria dos fundos já ter sido drenada", escreveu a empresa. A empresa repete seu conselho: "Se você ainda detém fundos em uma carteira Coldcard de assinatura única, é aconselhável mover seus fundos para novos endereços."
O episódio já levou cerca de US$ 15 bilhões em Bitcoin para custódia mais segura e gerou um aviso da Ledger de que a segurança das carteiras precisa se adaptar à descoberta assistida por IA. Outros fabricantes de hardware também alertaram sobre um aumento de phishing aproveitando o pânico.
A Galaxy ainda considera uma quarta onda candidata — 638,5 BTC não confirmados — que elevaria o total para 2.417 BTC, acima de US$ 151,3 milhões pelos preços atuais.
BTC