# Coldcard reconhece que falha pode afetar modelos Mk4, Mk5 e Q, e lança novos firmwares de correção

[![Carteiras da Coldcard]( "carteiras coldcard")]()

Empresa afirma que TAPSIGNER, OPENDIME e SATSCARD não foram afetados porque utilizam bases de códigos diferentes. Imagem: Coldcard/Redes sociais/Reprodução.

Após usuários relatarem [**perdas de R$ 38,5 milhões em Bitcoin possivelmente ligadas às carteiras da Coldcard**](https://livecoins.com.br/usuarios-relatam-perdas-de-us-385-milhoes-em-bitcoin-em-possiveis-ataques-ligados-a-coldcard/), a empresa reconheceu que seus dispositivos contêm uma vulnerabilidade que gera seeds inseguras.

Na primeira nota, a Coldcard afirmou que a falha estava ligada somente aos modelos Mk3. No entanto, em novo texto publicado nesta sexta-feira (31), a empresa aponta que os modelos Mk4, Mk5 e Q também foram afetados.

Identificada a falha, a empresa lançou novos firmwares para corrigi-la. A recomendação é que usuários façam a atualização e, após isso, gerem uma nova seed.

**Compre Bitcoin e criptomoedas**

no maior banco de investimentos da América Latina. Acesse

[Mynt.com.br](https://www.mynt.com.br/?utm_channel=parceiros&utm_medium=partners&utm_source=livecoins&utm_campaign=PAR_CSD_BUMYNT_banners_202602&utm_content=estatico&utm_term=20261102)

## Coldcard dá sua primeira explicação sobre vulnerabilidade que fez usuários perderem mais de 594 bitcoins

Rodolfo Novak, fundador da Coinkite, desenvolvedora da Coincard, afirmou em um primeiro momento que os rumores sobre suas carteiras estarem comprometidas eram apenas rumores e a vulnerabilidade não havia partido de seus dispositivos.

[](https://bitlist.co)

No entanto, conforme mais clientes da Coldcard começaram a relatar os mesmos problemas, a empresa acabou reconhecendo uma possível falha nos modelos Mk3. Novak apagou todos os seus tuítes onde negava essas informações.

Em nota publicada nesta sexta-feira (31), a empresa publicou um resumo sobre a vulnerabilidade encontrada.

> “Uma sequência complexa e sutil de bugs impediu que o RNG (gerador de números aleatórios) de hardware contribuísse com aleatoriedade em determinadas versões do firmware. Não tínhamos conhecimento desse bug até hoje. Alterações introduzidas para o Mk4 adicionaram entropia proveniente do SE1 e do SE2, reduzindo parcialmente o impacto nos modelos mais recentes, mas sem restaurar o objetivo pretendido de 128 bits de segurança.”

Seguindo, a empresa nota que o código-fonte da Coldcard sempre foi aberto e assume que alguém utilizou ferramentas de Inteligência Artificial (IA) para revisar versões de firmware antigas e encontrar a falha.

> “Há algumas semanas, usamos um dos melhores modelos de IA disponíveis para revisar nosso código em busca de problemas de segurança, e ele não encontrou esse bug nem qualquer outro problema grave. Atacantes e defensores dispõem das mesmas ferramentas de IA, mas, desta vez, elas não nos ajudaram e apenas beneficiaram os invasores.”

Dando detalhes técnicos sobre o ocorrido, a empresa afirma que a falha estava presente desde 2021, quando migraram suas operações de curva elíptica para a biblioteca libsecp256k1 do Bitcoin Core, o que exigia a adição de uma biblioteca chamada libNgU.

**“A escolha criptográfica foi correta. A integração não foi”**, reconhece a empresa, notando que a maior parte da aleatoriedade de suas carteiras provinha de um PRNG (gerador pseudo-aleatório de números) que os desenvolvedores não sabiam que estava sendo usado.

> “Ao mesmo tempo, o código de TRNG (gerador verdadeiramente aleatório de números) cuidadosamente desenvolvido por mim estava sendo utilizado, mas apenas por acaso e somente para funções menos importantes.”

## Empresa aponta que modelos Mk3, Mk4, Mk5 e Q possuem vulnerabilidade

Quanto aos modelos afetados, a empresa afirma que a Mk3, alvo do ataque de 594 bitcoins, possui somente 40 bits de segurança efetiva, quando deveria ter 128.

Os modelos Mk4, Mk5 e Q teriam 72 bits, por misturarem valores de TRNG com PRNG, mas também ficam abaixo do valor recomendado.

Ou seja, 40 bits representam 2⁴⁰ possibilidades (1,1 trilhão), 72 bits representam 2⁷² (4,7 sextilhões) e 128 bits representam 2¹²⁸ (340 undecilhões, um número muito maior). Tentando explicar a diferença entre os números em relação ao objetivo de 128 bits, a aleatoriedade seria 10²⁶ vezes mais fraca para o primeiro caso e 72 quadrilhões de vezes para o segundo.

## Coldcard recomenda que usuários atualizem o firmware para nova versão

Ainda falando sobre os dispositivos afetados, a Coldcard aponta que a falha estava presente desde março de 2021 no modelo Mk3, afetando as versões de firmware a partir da 4.0.1 até a 4.1.9.

- **“Atualize o Mk3 para o firmware 4.2.0 ou posterior antes de gerar uma seed de substituição.**
- **Gere uma seed completamente nova no Mk3 atualizado.**
- **Registre e verifique o novo backup, a impressão digital (fingerprint) da carteira e um endereço de recebimento.**
- **Envie uma pequena transação de teste antes de mover o restante dos fundos.**
- **Mantenha o backup antigo até que a migração seja concluída e confirmada.**
- **Siga o comunicado de segurança dedicado ao Mk3 e as instruções de migração.**
- **Proceda com calma e verifique cada etapa.”**

A empresa também lançou o firmware 5.6.0 para os modelos Mk4 e Mk5, bem como o firmware 1.5.0Q para o modelo Q, recomendando instruções semelhantes às listadas acima. Os downloads podem ser feitos no site oficial da Coldcard.

Por fim, até o fechamento desta matéria, a empresa não se pronunciou sobre possíveis reembolsos aos clientes afetados pela vulnerabilidade.

**Compre Bitcoin e criptomoedas** no maior banco de investimentos da América Latina. Acesse [Mynt.com.br](https://www.mynt.com.br/?utm_channel=parceiros&utm_medium=partners&utm_source=livecoins&utm_campaign=PAR_CSD_BUMYNT_banners_202602&utm_content=estatico&utm_term=20261102)

[](https://livecoins.com.br/author/kalashnikov/ "Henrique HK")

[Henrique HK](https://livecoins.com.br/author/kalashnikov/) [https://github.com/sabotag3x](https://github.com/sabotag3x)

Formado em desenvolvimento web há mais de 20 anos, Henrique Kalashnikov encontrou-se com o Bitcoin em 2016 e desde então está desvendando seus pormenores. Tradutor de mais de 100 documentos sobre criptomoedas alternativas, também já teve uma pequena fazenda de mineração com mais de 50 placas de vídeo. Atualmente segue acompanhando as tendências do setor, usando seu conhecimento para entregar bons conteúdos aos leitores do Livecoins.

Por @The Meme Bay 🏴‍☠️

**A META CONFERE SELO AZUL PARA IMPOSTORES NO WHATSAPP**

**E eu quase caí**

A Meta (antiga Facebook), empresa do Vale do Silício que é dona do Facebook, Instagram, Theads e WhatsApp, está validando impostores com selo azul de verificação, recurso que outrora foi anunciado como forma segura de distinguir contas business de empresas legítimas.

Esse selo funciona como uma assinatura mensal que representa a maior fatia de receitas para a empresa. Eles faturam entre R$ 20 a R$ 50 por selo todo mês. Para ter acesso facilitado à esses valores, a Meta afrouxa os requisitos do processo e, no fim das contas, não háfato uma apuração séria antes de conceder o selo a alguém.

O problema não é conceder selo para todas as empresas de forma facilitada, é que não há exclusividade real para quem paga. Impostores podem usar o mesmo nome (ou parte dele) e a mesma imagem (ou semelhante). O selo ao lado do nome, para quem não entende isso, induz ao erro.

Embora eles não possam usar o mesmo número, isso não é tão preocupante para o golpista. O modelo da conta Business, com nomeação padrão (mostra o nome sem você precisar nomear salvando o contato), engana as pessoas, especialmente se elas já tiverem a empresa clonada adicionada à seus contatos. Essa é a mesma facilidade com que eles clonam os advogados no golpe do falso advogado, eles usam uma conta business que já vem nomeada (dando a impressão de que a pessoa faz parte dos contatos). Sem contar que a localização do número de telefone numa conta business nem sempre é tão fácil.

Se o impostor ainda conhecer um contexto da sua relação com a empresa verdadeira, aí está armada a engenharia social! Com informações privilegiada da sua conta e status com a empresa, eles podem entrar em contato de tal forma que te induzam a confiar, para acessar links de phising (pesca de dados pessoais e número de cartão de crédito ou outras informações sensíveis que podem ser usadas para contratar serviços no nome da vítima) onde pode haver instruções maliciosas para clonar e invadir contas, instalar aplicativo espião ou para controlar o dispositivo remotamente.

No meu caso, passaram-se por uma empresa provedora de serviços de telecomunicações que tinha motivos contratuais para me contatar. Eles enviaram uma mensagem com um link oculto num texto que dizia: clique para saber mais.

Eu abri o link confiando que ele passaria pela análise do meu aplicativo de checagem de segurança, mas o impostor não é amador, ele criou um link encurtado que começa com o próprio domínio do WhatsApp para forçar que a abertura direto no aplicativo sem passar por análise e onde ele não estaria sujeito às extensões de segurança para bloquear malware e scripts nocivos.

O que torna tudo mais intrigante é que o WhatsApp permite que empresas criem links ocultos em textos que não tem meios de ser exibidos. Se você clicar, consegue ver o destino final, mas não o caminho que ele te levou até chegar lá. Esse tipo de funcionamento pode ser amplamente usado por golpistas para executar scripts maliciosos nas páginas sem o usuário nem saber para onde está indo. Por isso é bom usar um bom filtro DNS para malware, pelo menos.

Eles me conduziram a um site não oficial que supostamente oferecia um bom plano controle. Como estava trabalhando, eu deixei para ver com mais calma depois. Primeiro liguei na central da empresa verdadeira e questionei o número e o site. Não falaram objetivamente que era falso, e ficaram oferecendo plano com valor maior o que parecia apenas que eles estavam querendo vender e me fazer esquecer do link por puro interesse de ganhar comissão.

Enfim, em uma pesquisa descobri o dono do domínio, e que a sua apresentação usando o nome de outra empresa era dolosa, visto que pedia informações sensíveis (nada que a empresa verdadeira não pediria (até onde eu pude ver), mas é diferente você compartilhar com uma empresa legítima e com um terceiro que nunca ouviu falar e que já está agindo de má fé.

Embora esteja batendo mais na Meta, a própria empresa de telecomunicação parece ter culpa nisso, porque deixou vazar para terceiros informações sobre minha relação com ela (ou quem sabe até vendeu meus dados depois que cancelei o plano). Olhando por esse lado, ela também não parece ser tão vítima de falsificação assim, visto que, sendo multinacional e rica, não investiu muito em segurança ou vendeu meus dados. A vítima mesmo é o usuário. A Meta ganha, a empresa de telecomunicações ganha e o golpista também deve ganhar muito e o usuário é enganado e prejudicado.

**A META CONFERE SELO AZUL PARA IMPOSTORES NO WHATSAPP**

**E eu quase caí**

A Meta (antiga Facebook), empresa do Vale do Silício que é dona do Facebook, Instagram, Theads e WhatsApp, está validando impostores com selo azul de verificação, recurso que outrora foi anunciado como forma segura de distinguir contas business de empresas legítimas.

Esse selo funciona como uma assinatura mensal que representa a maior fatia de receitas para a empresa. Eles faturam entre R$ 20 a R$ 50 por selo todo mês. Para ter acesso facilitado à esses valores, a Meta afrouxa os requisitos do processo e, no fim das contas, não háfato uma apuração séria antes de conceder o selo a alguém.

O problema não é conceder selo para todas as empresas de forma facilitada, é que não há exclusividade real para quem paga. Impostores podem usar o mesmo nome (ou parte dele) e a mesma imagem (ou semelhante). O selo ao lado do nome, para quem não entende isso, induz ao erro.

Embora eles não possam usar o mesmo número, isso não é tão preocupante para o golpista. O modelo da conta Business, com nomeação padrão (mostra o nome sem você precisar nomear salvando o contato), engana as pessoas, especialmente se elas já tiverem a empresa clonada adicionada à seus contatos. Essa é a mesma facilidade com que eles clonam os advogados no golpe do falso advogado, eles usam uma conta business que já vem nomeada (dando a impressão de que a pessoa faz parte dos contatos). Sem contar que a localização do número de telefone numa conta business nem sempre é tão fácil.

Se o impostor ainda conhecer um contexto da sua relação com a empresa verdadeira, aí está armada a engenharia social! Com informações privilegiada da sua conta e status com a empresa, eles podem entrar em contato de tal forma que te induzam a confiar, para acessar links de phising (pesca de dados pessoais e número de cartão de crédito ou outras informações sensíveis que podem ser usadas para contratar serviços no nome da vítima) onde pode haver instruções maliciosas para clonar e invadir contas, instalar aplicativo espião ou para controlar o dispositivo remotamente.

No meu caso, passaram-se por uma empresa provedora de serviços de telecomunicações que tinha motivos contratuais para me contatar. Eles enviaram uma mensagem com um link oculto num texto que dizia: clique para saber mais.

Eu abri o link confiando que ele passaria pela análise do meu aplicativo de checagem de segurança, mas o impostor não é amador, ele criou um link encurtado que começa com o próprio domínio do WhatsApp para forçar que a abertura direto no aplicativo sem passar por análise e onde ele não estaria sujeito às extensões de segurança para bloquear malware e scripts nocivos.

O que torna tudo mais intrigante é que o WhatsApp permite que empresas criem links ocultos em textos que não tem meios de ser exibidos. Se você clicar, consegue ver o destino final, mas não o caminho que ele te levou até chegar lá. Esse tipo de funcionamento pode ser amplamente usado por golpistas para executar scripts maliciosos nas páginas sem o usuário nem saber para onde está indo. Por isso é bom usar um bom filtro DNS para malware, pelo menos.

Eles me conduziram a um site não oficial que supostamente oferecia um bom plano controle. Como estava trabalhando, eu deixei para ver com mais calma depois. Primeiro liguei na central da empresa verdadeira e questionei o número e o site. Não falaram objetivamente que era falso, e ficaram oferecendo plano com valor maior o que parecia apenas que eles estavam querendo vender e me fazer esquecer do link por puro interesse de ganhar comissão.

Enfim, em uma pesquisa descobri o dono do domínio, e que a sua apresentação usando o nome de outra empresa era dolosa, visto que pedia informações sensíveis (nada que a empresa verdadeira não pediria (até onde eu pude ver), mas é diferente você compartilhar com uma empresa legítima e com um terceiro que nunca ouviu falar e que já está agindo de má fé.

Embora esteja batendo mais na Meta, a própria empresa de telecomunicação parece ter culpa nisso, porque deixou vazar para terceiros informações sobre minha relação com ela (ou quem sabe até vendeu meus dados depois que cancelei o plano). Olhando por esse lado, ela também não parece ser tão vítima de falsificação assim, visto que, sendo multinacional e rica, não investiu muito em segurança ou vendeu meus dados. A vítima mesmo é o usuário. A Meta ganha, a empresa de telecomunicações ganha e o golpista também deve ganhar muito e o usuário é enganado e prejudicado.