O Incidente da Coldcard: como isso aconteceu?

Antes de ler:

A Ledger não é afetada pelo alerta recentemente publicado sobre a Coldcard Mk3.

Os dispositivos Ledger usam um gerador de números aleatórios verdadeiros (TRNG) certificado, construído diretamente no nosso chip de elemento seguro, gerando 256 bits completos de entropia para cada frase de recuperação secreta de 24 palavras. Por favor, consulte este artigo para obter mais informações.

A CoinKite publicou um comunicado de segurança sobre certas versões de firmware da Coldcard Mk3 – você pode ler o comunicado aqui.

Compre um autenticador Ledger

O Incidente da Coldcard: a Base da Aleatoriedade

Em 31 de julho de 2026, a Coldcard relatou que um bug de firmware havia enfraquecido a forma como alguns dispositivos geravam seed phrases, acarretando grandes perdas para os usuários. No final de 2022, o Ledger Donjon descobriu uma vulnerabilidade semelhante na extensão de navegador da Trust Wallet.

O bug tornou qualquer carteira criada pela extensão recuperável a partir do seu endereço público. Na prática, um invasor poderia derivar as chaves privadas e roubar os fundos sem qualquer interação do usuário. O espaço de busca era pequeno o suficiente para sofrer um ataque de força bruta.

O Donjon relatou o problema de forma responsável. A Trust Wallet levou cerca de cinco meses para corrigir o software e dar tempo para que os usuários migrassem seus fundos antes que a vulnerabilidade fosse divulgada publicamente. Esse processo simplesmente evitou um dos maiores casos de carteiras comprometidas que o ecossistema já viu.

Criptografia é difícil. Implementá-la de forma segura é ainda mais difícil. A qualidade da geração de números aleatórios é muitas vezes negligenciada, mas ela pode definir tudo. O incidente da Coldcard desta semana mostrou isso da forma mais cara possível.

No final de 2022, o @DonjonLedger descobriu uma vulnerabilidade semelhante na extensão de navegador da Trust Wallet.

O bug tornou qualquer carteira criada pela extensão recuperável a partir do seu endereço público. Na prática, um invasor poderia derivar chaves privadas e roubar fundos de uma carteira

— Charles Guillemet (@P3b7_) 1 de agosto de 2026

Coldcard: O Que É Diferente Hoje

O que falhou. Cada chave privada na sua propriedade deriva de um único número: a seed. Se esse número for previsível, tudo o que for derivado dele também será. O firmware da Coldcard deveria obter essa seed de um RNG hardware dedicado. Mas não era o caso. Um mecanismo de segurança verificou se uma macro de configuração estava definida, não se estava ativada, por isso a compilação recorreu silenciosamente a um gerador de software inicializado com o número de série e o temporizador do chip, valores que um invasor pode reconstruir.

Dispositivos mais antigos eram efetivamente deterministas; os atuais eram limitados a cerca de 32 bits, cerca de quatro bilhões de possibilidades. Um espaço de seed anunciado como de 128 bits colapsou em algo que pode ser enumerado. Pesquisadores estimam que mais de 1.000 BTC foram drenados de cerca de 1.200 carteiras devido a uma falha presente no código público desde março de 2021. O dispositivo nunca precisou ser tocado.

Um RNG ruim não faz barulho. O número de saída ainda parece aleatório e passa em uma inspeção casual. Descobre-se o problema quando outra pessoa faz o mesmo, on-chain, às 21:56 de uma quinta-feira. É por isso que a aleatoriedade não pode ser uma conveniência de software como um caminho alternativo. Ela deve ser projetada, medida e certificada como uma função de segurança de primeira classe.

Como fazemos isso na Ledger. Construímos sobre elementos seguros certificados especificamente para acessar as melhores primitivas criptográficas, incluindo um RNG de hardware. O TRNG é físico, não uma fórmula: ele aproveita fenômenos físicos caóticos no silício para produzir entropia verdadeira, de modo que não há semente para adivinhar. O elemento seguro integra detectores de hardware que monitoram mal funcionamento e manipulação, sensores ambientais, blindagem ativa, detecção de glitch e de tensão. Temperaturas extremas, por exemplo, podem degradar uma fonte de ruído, por isso o hardware é construído para detectar isso, em vez de enviar silenciosamente uma entropia fraca. E a entropia bruta nunca é usada diretamente: essa fonte de baixa taxa de transferência é enviada para o pós-processamento criptográfico dentro do Ledger OS. Física para a entropia, criptografia para condicioná-la.

Aleatoriedade é a Base

Criptografia é difícil. Implementá-la de forma segura é ainda mais difícil. A qualidade da geração de números aleatórios é muitas vezes negligenciada, mas ela pode definir tudo.

O incidente da Coldcard desta semana tornou isso visível da maneira mais cara… pic.twitter.com/Sj55VtvPg1

— Charles Guillemet (@P3b7_) 1 de agosto de 2026

As certificações e o que elas significam. Alegações são fáceis. As certificações são externos tentando invalidar suas alegações. Nosso TRNG é avaliado sob a AIS-31 e certificado PTG.2. A AIS-31 é a metodologia do BSI alemão, usada no esquema Common Criteria, que define como avaliar um RNG físico real, incluindo um modelo estocástico da fonte de ruído, e não apenas testes na saída. O elemento seguro possui certificação Common Criteria EAL5+ / EAL6+. E os dispositivos Ledger são certificados sob o CSPN, o esquema de primeiro nível da ANSSI, com a qualidade da geração de números aleatórios explicitamente no escopo. A falha exata que atingiu a Coldcard, “gerar um número aleatório tendencioso ou determinista”, está registrada como a Ameaça n.º 1 em nossos objetivos de segurança publicados, e o TRNG é a função de segurança que a soluciona.

No código fechado, honestamente. Esta parte do Ledger OS é de código fechado. O acesso a esta tecnologia de elemento seguro vem com uma exigência rígida do fabricante de que a implementação de baixo nível permaneça fechada. Nós amamos o código aberto. Mas, entre o mais alto nível de segurança certificada e a filosofia de código aberto para essa camada específica, escolhemos a segurança, e ainda acho que essa foi a decisão correta.

Código fechado não significa não auditado: nosso código passa por avaliações regulares de diversos fornecedores independentes e obtém certificação de forma recorrente. A segurança não deve depender da obscuridade. Esse princípio permanece de pé.

Mas também é verdade que o código fechado aumenta o custo da pesquisa de vulnerabilidade para um invasor. Ambas as coisas são verdadeiras ao mesmo tempo. Uma falha que permaneceu em código público por cinco anos até que, segundo relatos, um adversário usou AI para encontrá-la é um lembrete de que “aberto” e “revisado” não são a mesma palavra.

Esse ângulo da AI não é uma nota de rodapé. Internamente, fazemos uso intenso de LLMs para buscar vulnerabilidades em nossos próprios produtos, e isso é verdadeiramente eficaz (leia o excelente artigo no blog sobre o assunto).

O adversário já está fazendo isso na velocidade das máquinas. Nós também o fazemos, antes que eles o façam. Mais sobre nossa abordagem em breve.

Nada disso nos torna imunes. Isso nos torna mensuráveis, monitorados e certificados exatamente contra a classe de falha que acabou de ocorrer. Garantias criptográficas superam a confiança social, sempre. Uma seed impossível de prever supera a promessa de ser aleatória.

Com LLMs modernos, redescobrir vulnerabilidades, compreender patches e criar pipelines de exploração tornou-se drasticamente mais fácil. A janela de tempo entre “corrigido” e “explorado” está diminuindo rapidamente.

A divulgação responsável ainda é essencial, mas a gestão de vulnerabilidades precisa evoluir. Correções mais rápidas, prazos de divulgação mais curtos e estratégias de migração que pressupõem atacantes capazes auxiliados por AI agora fazem parte do modelo de segurança, não sendo melhorias opcionais.

Charles Guillemet, Ledger CTO