Galaxy identifica 15 atacantes em exploração do Coldcard; perdas podem chegar a US$ 130 mi em Bitcoin

TL;DR A Galaxy identificou ao menos 15 atacantes após novos relatos de vítimas revelarem furtos do Coldcard que não haviam sido detectados, incluindo a retirada de 12 BTC de 126 endereços. As perdas confirmadas somam cerca de US$ 100 milhões em três ondas; uma quarta ofensiva suspeita pode elevar o total para perto de US$ 130 milhões em Bitcoin. Pesquisadores divergem sobre a tese de que testes baratos com IA poderiam ter evitado a falha, mas concordam que a queda da entropia para 40 bits tornou as seeds afetadas mais fáceis de atacar de forma independente. A Galaxy Digital afirma que pelo menos 15 atores distintos exploraram uma vulnerabilidade no Coldcard, com base em novas notificações de vítimas recebidas após o caso se tornar público. Alex Thorn disse que as divulgações individuais permitiram aos analistas distinguir ataques que, de outra forma, permaneceriam invisíveis, já que o episódio não se parece com um hack de exchange centralizada, com um único ponto de invasão. Os relatos recentes apontam para uma campanha fragmentada, e não para uma operação coordenada. Em um dos exemplos, uma vítima que reportou o furto de menos de 1 BTC acabou ajudando pesquisadores a localizar um ataque muito maior: 12 BTC foram removidos de 126 endereços. Segundo Thorn, a equipe segue recebendo denúncias, orientando vítimas a reportar às autoridades e usando essas informações para identificar novos eventos e rotular diferentes atacantes. Novos relatos ampliam a estimativa de perdas e reacendem debate sobre IA A Galaxy estima perdas confirmadas próximas de US$ 100 milhões em três ondas e diz ter identificado uma quarta onda suspeita, o que poderia elevar o total para aproximadamente US$ 130 milhões em Bitcoin. A revisão contínua sugere que o impacto ainda está sendo reconstituído, sem que haja uma visão totalmente consolidada do incidente. Diferentemente de um ataque único a uma exchange, seeds de carteiras comprometidas podem ser exploradas separadamente por diversos agentes. Isso complica atribuição, contagem de vítimas e cálculo do prejuízo total. O aumento do número de atacantes também voltou a levantar dúvidas sobre o quanto a autocustódia protege o usuário quando segredos gerados por hardware se tornam previsíveis. No debate técnico, cresceu a discussão sobre o custo para uma IA redescobrir a falha no firmware. Haseeb Qureshi, sócio-gerente da Dragonfly, afirmou que cerca de US$ 2 em "endurecimento" com IA poderiam ter evitado o problema, citando testes em que modelos teriam reproduzido a vulnerabilidade em poucos minutos. A afirmação é considerada provocativa e segue contestada, em parte porque a falha já estava pública quando várias demonstrações ocorreram. Um pesquisador alertou que esses testes não apresentaram condições cegas, métodos documentados nem análise de falsos positivos. Por outro lado, foi relatado que um modelo open source encontrou o problema em 20 minutos sem acesso à web, o que intensificou o debate sobre a viabilidade de detecção antecipada antes da divulgação. A Castle Labs afirmou que o bug reduziu a entropia da chave privada do Coldcard para cerca de 40 bits, muito abaixo dos 128 bits associados a uma seed padrão de 12 palavras. Essa redução tornaria o brute force mais viável e ajuda a explicar por que múltiplos atacantes conseguiram atuar em paralelo. Para pesquisadores, o caso expõe uma falha de testes: a promessa de segurança da hardware wallet dependia de uma entropia que o firmware enfraqueceu silenciosamente. Com a IA reduzindo o custo de revisão de código para defensores e criminosos, o desafio permanece: fabricantes de carteiras conseguem fortalecer releases antes que ferramentas automatizadas transformem erros de implementação pouco visíveis em oportunidades de roubo escalável, inclusive em endereços de Bitcoin inativos?