Radar Finanças
A Coldcard, fabricante da carteira de hardware exclusiva para Bitcoin, apagou uma publicação com link de phishing que apareceu em seu perfil oficial no X no domingo e afirmou que investiga como o conteúdo foi publicado sob sua própria marca. A empresa diz ter acionado a plataforma e iniciado uma revisão de todos os acessos vinculados à conta, mantendo autenticação de dois fatores offline e acesso restrito desde 2017.
📌Fatos em Destaque
- A Coldcard confirmou que um link de phishing apareceu em seu perfil oficial no X no domingo, apagou a publicação e acionou a plataforma para apurar a origem do acesso.
- A empresa afirma operar com autenticação de dois fatores offline e acesso restrito desde 2017, e reforçou que o único site oficial é o domínio coldcard.com.
- Julho de 2026 registrou US$ 247,4 milhões em perdas por roubos cripto, o segundo pior mês do ano, atrás de abril de 2026, com US$ 644 milhões, segundo a DefiLlama.
O que a Coldcard confirmou sobre o link falso no perfil oficial
A Coldcard vendeu durante anos uma promessa reconfortante: a chave privada nunca sai do dispositivo, e o dispositivo não conversa com a internet. O problema, como sempre, mora na parte analógica da equação. Neste domingo, um link de phishing apareceu na conta oficial da fabricante de carteiras de hardware no X, travestido de comunicação legítima da marca.
A publicação já foi excluída, e a empresa diz investigar como o conteúdo foi parar ali. Segundo o comunicado, a companhia entrou em contato com o X e começou a revisar todos os acessos vinculados ao perfil. É exatamente o tipo de auditoria interna que costuma revelar mais sobre higiene operacional do que qualquer nota de esclarecimento admite de antemão.
A empresa fez questão de sublinhar dois pontos: mantém autenticação de dois fatores offline e acesso restrito desde 2017, e opera com um único endereço oficial, o domínio coldcard.com. A mensagem, traduzida do dialeto de segurança cibernética, é a seguinte: o dispositivo nunca pediu confiança em servidores de terceiros. O perfil corporativo no X, aparentemente, pediu.
Arquitetura de segurança e gestão de canais
Vale separar o que é arquitetura de segurança do que é gestão de canais. Uma carteira de hardware como a Coldcard é desenhada para que a chave privada nunca toque um aparelho conectado e para que cada transação exija confirmação física. O vetor de ataque aqui não foi o dispositivo: foi o endereço que os usuários aprenderam a considerar confiável. Quem clicou no link falso não sofreu uma falha de criptografia, sofreu uma falha de reputação.
Há uma assimetria desconfortável nisso. Fabricantes de segurança investem pesado em firmware, auditorias e cadeia de suprimentos, e muitas vezes deixam o perfil oficial em redes sociais sob uma governança de senhas digna de assembleia de condomínio. O canal que a marca usa para alertar sobre golpes acabou virando o próprio golpe, e a vítima, invariavelmente, é quem havia aprendido a confiar no selo da casa. Carteiras de hardware resolvem o problema da custódia privada, não o problema do token de sessão esquecido em algum navegador.
Julho de 2026: US$ 247,4 milhões em perdas e a Coldcard no centro do segundo pior mês do ano
O incidente não acontece no vácuo. Segundo dados compilados pela DefiLlama, julho de 2026 foi o segundo pior mês do ano para roubos de criptomoedas, com US$ 247,4 milhões em perdas, em episódio associado a uma exploração envolvendo a Coldcard. O recorde negativo do ano segue com abril de 2026, que acumulou US$ 644 milhões roubados, patamar mais que o dobro do registrado em julho.
Para uma empresa cujo ativo principal é a confiança, a sequência é indigesta. Primeiro, um prejuízo de nove dígitos em um mês; agora, um link falso saindo do próprio perfil. O mercado de segurança cripto aprendeu, a duras penas, que o alvo preferencial deixou de ser apenas o contrato inteligente e passou a ser a infraestrutura de confiança: e-mails de suporte, perfis em redes sociais, domínios parecidos. A superfície de ataque mais barata raramente é o código.
O que a Coldcard ainda não explicou sobre o episódio
Três perguntas permanecem abertas. A primeira: se o ataque tem relação com a exploração de US$ 247,4 milhões de julho de 2026, ou seja, se haveria acesso remanescente à infraestrutura da empresa. A segunda: quantos usuários clicaram no link falso e qual foi o dano efetivo. A terceira: se a conta no X foi de fato comprometida ou se houve acesso interno indevido, hipótese bem menos lisonjeira para o time de marketing.
Enquanto essas respostas não vêm, o episódio serve de lembrete incômodo para todo o setor. Empresas que vendem segurança costumam ser avaliadas pelo melhor cenário que conseguem descrever. O mercado, como sempre, prefere ler as notas de rodapé.
Como verificar o canal oficial e o que acompanhar nos próximos dias
A orientação prática, repetida pela própria fabricante, é checar sempre o domínio oficial, coldcard.com, e desconfiar de links encurtados, inclusive quando aparecem em um perfil verificado. O selo de verificação comprova identidade, não integridade operacional.
Nos próximos dias, vale acompanhar três frentes: a resposta do X sobre a origem do acesso, o resultado da revisão interna de credenciais e eventuais comunicados da Coldcard sobre o dano a usuários.
