Publicar

Carteiras frias também não são seguras: vulnerabilidade no firmware da Coldcard, ataque à cadeia de fornecimento da Ledger — o teu BTC pertence-te realmente? Gastaste 1000 para comprar uma carteira fria, pensando que os teus ativos estavam completamente seguros. Em menos de um ano, dois incidentes mostraram-te que uma carteira fria pode ser uma bomba-relógio. A primeira bomba: Coldcard, nunca tocaste no dispositivo, e o dinheiro desapareceu. Em março de 2021, o fabricante canadiano de carteiras de hardware Coinkite introduziu uma falha fatal no firmware da Coldcard: ao gerar a frase mnemónica, o dispositivo não usava o verdadeiro chip de números aleatórios de hardware, mas sim um gerador de números pseudoaleatórios por software. Em termos simples — o que pensavas ser "aleatório" não era realmente aleatório. O atacante não precisava sequer de tocar no teu dispositivo, nem de o ligares à internet, conseguindo matematicamente deduzir em massa a tua frase mnemónica. O primeiro ataque ocorreu a 30 de julho de 2026. Em 25 minutos, cerca de 594 BTC desapareceram de 500 endereços. Isto foi só o começo. Seguiram-se pelo menos mais três ondas de ataques, com mais de 1.816 BTC transferidos de mais de 5.200 endereços, causando perdas entre 114 e 116 milhões de dólares. Um utilizador afirmou que a sua Coldcard nunca foi ligada à internet, a frase mnemónica nunca foi exposta, mas os ativos foram roubados na mesma. A resposta oficial da Coinkite foi simples: todas as frases mnemónicas geradas desde março de 2021 devem ser consideradas comprometidas. Atualizar o firmware não resolve — as frases já geradas nunca serão seguras, tens de criar uma nova frase e transferir os ativos. A segunda bomba: Ledger, o dispositivo que compraste ao distribuidor pode ter sido adulterado. A 9 de outubro, houve um surto massivo de roubos a utilizadores Ledger, com perdas superiores a 86 milhões de dólares, envolvendo Ethereum, TRON, Bitcoin e centenas de carteiras em várias blockchains. As vítimas tinham algo em comum: todas compraram os dispositivos através do distribuidor do Sudeste Asiático CryptoBilis. O ex-CEO da Mt. Gox, Mark Karpelès, desmontou um Ledger vindo da Malásia e descobriu uma placa de circuito extra dentro do dispositivo, com um módulo LTE e eSIM. Esta placa podia ler os sinais enviados para o ecrã, interceptar a frase mnemónica durante a inicialização do dispositivo e enviá-la pela rede móvel. Pensavas que era um "distribuidor autorizado oficial", mas o dispositivo foi desmontado, adulterado e manipulado desde a fábrica. O sinal mais preocupante é que toda a infraestrutura de segurança do DeFi está a ser sistematicamente comprometida. Balancer foi roubado em 128 milhões de dólares, Kelp DAO em 292 milhões, o dólar sintético xUSD da Stream Finance desancorou, e o valor total bloqueado na Aave caiu de 26 mil milhões para 14,2 mil milhões em 5 dias. Desde protocolos de empréstimo a dólares sintéticos, de exchanges a carteiras de hardware pessoais — cada ponto que julgavas "seguro" teve incidentes este ano. O que deves fazer? Três coisas, já hoje. Primeiro, compra carteiras de hardware apenas por canais oficiais. Não sejas tentado por preços baixos de distribuidores, não compres a terceiros. O caso Ledger mostrou que ataques à cadeia de fornecimento estão escondidos atrás das palavras "distribuidor autorizado". Segundo, utilizadores Coldcard devem verificar imediatamente. Se geraste uma frase mnemónica na Coldcard após março de 2021, cria uma nova carteira e transfere os ativos hoje. A frase antiga está permanentemente comprometida. Terceiro, usa multiassinaturas para grandes ativos. Carteiras de assinatura única são o principal alvo do ataque à Coldcard. Usa uma multiassinatura 2-de-3 com Trezor Safe 7, Ledger Nano e Casa recovery keys; se um dispositivo falhar, os teus ativos permanecem seguros. Não ponhas todos os ovos no mesmo cesto — e nunca entregues a chave privada a um único dispositivo. 1011 ensinou-nos que a alavancagem mata. Este ano ensinou-nos que até as carteiras frias podem trair-te. Neste mercado, o único inimigo da segurança é a tua sorte. $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入