52,37 BTC resgatados de falha na Coldcard são encaminhados a trust em Wyoming

White hats transferiram 52,37 BTC ligados à segunda onda do exploit da Coldcard para um endereço controlado pela Crypto Recovery Trust, entidade sediada em Wyoming, o equivalente a cerca de 40% dessa leva. Dentro do pacote, 3,0134 BTC vieram de endereços que a Galaxy Digital não havia rastreado antes, e a própria firma trata a origem como presunção, não como fato confirmado.

Há uma ironia confortável no episódio da Coldcard: para salvar moedas de quem pregava a autocustódia radical, foi preciso erguer um trust com estatuto, endereço e jurisdição. Cerca de 52,37 bitcoins ligados à segunda onda do exploit da carteira física foram transferidos para um endereço controlado pela Crypto Recovery Trust, entidade sediada em Wyoming, segundo levantamento on-chain atribuído à Galaxy Digital. O volume equivale a aproximadamente 40% do total associado a essa segunda leva de ataques, um placar que os white hats comemoram e que, no balanço final, ainda deixa a maior parte do butim com quem chegou primeiro.

Dos bitcoins transferidos, 3,0134 BTC vieram de endereços que a Galaxy Digital não havia rastreado anteriormente. Aqui vale o rigor: a firma não confirma a origem dessas moedas, apenas presume que também pertenciam a carteiras atingidas pela falha da Coldcard. Presunção, em análise forense de blockchain, é uma hipótese de trabalho, não um laudo.

O resgate de 52,37 BTC e o cofre jurídico montado em Wyoming

Cerca de 52,37 bitcoins associados à segunda onda do exploit da Coldcard foram transferidos para um endereço controlado pela Crypto Recovery Trust, estrutura registrada em Wyoming, estado que há anos se vende como paraíso regulatório para negócios digitais. A cifra representa aproximadamente 40% dos bitcoins vinculados a essa segunda leva de ataques, de acordo com o levantamento on-chain atribuído à Galaxy Digital.

A cronologia ajuda a dimensionar o esforço. No fim de julho, Nick Bax, pesquisador ligado ao SEAL 911, já havia ajudado a resgatar cerca de 50 BTC que, segundo seu próprio relato, seriam roubados em breve por causa da falha de entropia da Coldcard. O total publicado da vulnerabilidade chega a 1.830 BTC, espalhados por 9.162 endereços, o que dá pouco menos de 0,2 BTC por carteira, em média. É uma caça miúda, paciente e endereço por endereço.

Entropia fraca: o defeito que transformou sementes em loteria previsível

A falha que originou toda essa corrida não está no preço do bitcoin, mas na matemática que deveria protegê-lo. Hardware wallets geram a semente da carteira a partir de um processo de entropia, ou seja, de aleatoriedade. Quando essa aleatoriedade nasce fraca ou previsível, a chave privada deixa de ser um segredo intransponível e passa a ser uma combinação que pode ser reconstruída por força bruta. É exatamente aí que a corrida se decide. Quem identifica o padrão primeiro varre os endereços vulneráveis antes de os donos perceberem o risco. Os white hats venceram essa etapa na segunda onda, e a diferença entre um resgate e um roubo passa a ser medida em horas de processamento e coordenação, não em virtude moral.

Vale registrar o que o dado não diz. O relatório não detalha o método exato de exploração, nem o tempo necessário para quebrar cada semente. O que se sabe é o resultado contábil da falha: 1.830 BTC expostos em 9.162 endereços, com os atacantes ainda sentados sobre a maior parte da segunda leva. A janela de ataque não foi fechada; foi parcialmente disputada.

Autocustódia sob escrutínio e o paradoxo do trust centralizado

O episódio atinge em cheio a promessa central das hardware wallets: a de que guardar a própria chave é mais seguro do que confiar em terceiros. A vulnerabilidade de entropia da Coldcard não é um ataque a uma exchange, é um defeito de fabricação em um produto vendido como blindagem. Para o investidor que comprou o dispositivo justamente para não depender de ninguém, o recado é desconfortável.

E a solução encontrada reforça o paradoxo. Para devolver moedas a vítimas de um ecossistema que se define pela descentralização, foi montado um trust com sede em Wyoming, com endereço controlado e governança ainda a definir. Funciona como mecanismo de custódia temporária e facilita a devolução, mas escancara a dependência de estruturas centralizadas quando a matemática falha.

No tabuleiro reputacional, os white hats saem maiores, o SEAL 911 ganha mais uma linha em seu currículo de resposta a incidentes e as vítimas passam a ter um caminho para reaver parte do que perderam. A Coldcard, por sua vez, carrega o custo mais caro do setor: a dúvida sobre a própria engenharia. O caso tende a reacender o debate sobre padrões mínimos de segurança em dispositivos de autocustódia, ainda que o material disponível não registre nenhuma medida regulatória concreta em tramitação.

O que ainda precisa ser provado antes do próximo capítulo

O placar atual é parcial por construção. Restam cerca de 60% dos bitcoins da segunda onda fora do resgate, e não há sinal, nos dados disponíveis, de que essa fatia será recuperada. Cada nova varredura de endereços é, na prática, uma disputa por moedas que continuam expostas ao mesmo defeito de origem.

Há duas lacunas que merecem acompanhamento. A primeira é a origem dos 3,0134 BTC que entraram na transferência sem rastreamento prévio da Galaxy, ponto em que a firma trabalha com presunção e não com confirmação. A segunda é a ausência de verificação independente sobre quantas vítimas efetivamente já receberam seus fundos de volta, dado que separa o alívio real da narrativa de sucesso. Também ficam em aberto a mecânica jurídica de distribuição pelo trust em Wyoming e a eventual atualização dos números totais de 1.830 BTC e 9.162 endereços.