Entropia, passphrase e o caso Coldcard: por que a sua seed pode valer menos do que você pensa

Uma seed de 24 palavras não é forte porque tem 24 palavras. Ela é forte porque foi sorteada de um universo grande demais para ser varrido. Tire a aleatoriedade e sobram 24 palavras bonitas protegendo nada.

O que é entropia, sem enrolação

Quando você cria uma carteira, o aparelho não "inventa" palavras. Ele sorteia um número gigantesco, 128 bits para 12 palavras, 256 bits para 24, e traduz esse número para a lista de palavras do padrão BIP-39. As palavras são só uma forma humana de escrever o número.

Entropia é o tamanho real desse sorteio. Não o tamanho aparente, o real.

Um exemplo simples: imagine uma fechadura com um segredo de 10 dígitos. Parece inviolável. Mas se o fabricante sorteia o segredo usando o horário da fábrica, o universo de segredos possíveis deixa de ser 10 bilhões e vira algumas dezenas de milhares. A fechadura continua com 10 dígitos. Só que agora dá para testar todos.

É exatamente isso que acontece com uma seed gerada com aleatoriedade fraca. Ela tem a aparência certa, o checksum bate, a carteira funciona, e mesmo assim está a poucas horas de processamento de qualquer pessoa que descubra o padrão.

Um detalhe que engana muita gente: passar a seed por uma função de hash não cria entropia. Se existem 4 bilhões de sementes possíveis na origem, existem 4 bilhões de resultados possíveis na saída. Embaralhar não aumenta o número de cartas do baralho.

O caso Coldcard: julho de 2026

Em 30 de julho de 2026, entre 01h10 e 01h51 UTC, uma janela de 41 minutos, , cerca de 1.082 BTC foram drenados de aproximadamente 1.196 carteiras Coldcard. As estimativas de perda começaram em torno de US$ 70 milhões e, conforme a investigação avançou, subiram para algo perto de US$ 114 milhões.

O ladrão nunca tocou em nenhum aparelho.

O que deu errado

Uma falha de compilação no firmware fazia o Coldcard, em determinadas condições, deixar de usar o gerador de aleatoriedade de hardware e cair silenciosamente em um gerador de software, determinístico, alimentado pelo número de série do chip (fixo) e por registradores de temporizador (previsíveis).

A pesquisa técnica foi publicada pela equipe de engenharia da Block (Predictable RNG Fallback and 32-Bit Reseed in COLDCARD Firmware) e reconhecida pela própria Coinkite em um aviso oficial de segurança, com detalhamento técnico à parte.

Segundo esses relatórios:

Aparelho	Firmware afetado	Gravidade
Mk1	nenhum	não afetado
Mk2 / Mk3	v4.0.1 até v4.1.9	crítico, seed praticamente reconstruível
Mk4 / Mk5	anterior à v5.6.0	sério, cerca de 72 bits reais em vez de 128
Q	anterior à v1.5.0Q	mesma limitação
Edge	anterior a 6.6.0X / 6.6.0QX	mesma limitação
Tapsigner, Opendime, Satscard	,	não afetados

O atacante reconstruiu offline as chaves prováveis, derivou os endereços em três formatos diferentes e comparou com o que já estava público na blockchain. Depois foi só varrer. Nada de invasão, nada de engenharia social: matemática contra um sorteio que nunca aconteceu de verdade.

Quem escapou

Duas coisas salvaram gente.

1. Passphrase BIP-39. Quem usava uma passphrase forte e única, a chamada "25ª palavra", não teve os fundos varridos. A seed fraca sozinha não abre essa carteira: o atacante teria que adivinhar também a passphrase, que nunca esteve no aparelho. A própria Coinkite confirmou isso no aviso, com uma ressalva séria: passphrase curta, previsível, frase famosa ou reaproveitada de outro serviço não conta como proteção.

2. Dados (dice rolls). Quem gerou a seed jogando dados de verdade adicionou entropia que o aparelho não controlava. A recomendação prática que saiu do episódio: 50 a 98 lançamentos independentes e privados equivalem a pelo menos 128 bits extras; 99 ou mais, a algo próximo de 256 bits.

E o mais importante: quem percebeu o aviso a tempo migrou os fundos para uma seed nova, gerada em firmware corrigido ou em outro aparelho, antes da varredura. A diferença entre perder tudo e não perder nada foi, para muita gente, algumas horas de atenção.

As lições, em ordem de importância

1. Aleatoriedade é a base de tudo

Sua carteira não é segura porque o aparelho é caro, é fechado ou tem cara de cofre. Ela é segura porque a seed veio de um sorteio grande de verdade. Sempre que o aparelho oferecer geração por dados, use. É a única forma de a segurança não depender exclusivamente da palavra do fabricante.

2. Passphrase não é luxo, é camada

A passphrase é a diferença entre "quem tem a seed tem o dinheiro" e "quem tem a seed ainda não tem nada". Ela protege contra seed fraca, contra alguém achando o backup em papel, contra coação. Mas exige disciplina:

• Forte e única. Não é senha de e-mail nem versículo, nem nome de cachorro.
• Guardada separada da seed. Se estiverem no mesmo envelope, você tem uma coisa só, não duas.
• Testada antes. Restaure a carteira com a passphrase e confira o endereço antes de depositar valor. Passphrase esquecida é fundo perdido, não existe suporte.

3. Nunca é uma carteira só

Uma boa configuração assume que qualquer peça pode falhar: fabricante, firmware, papel, memória. Fundos relevantes pedem redundância, backups em locais distintos, e, dependendo do valor, multisig com aparelhos de fabricantes diferentes, para que uma falha como essa não derrube o conjunto.

4. Acompanhar o Bitcoin faz parte da custódia

Este é o ponto que quase ninguém fala. Autocustódia não é um evento, é uma prática contínua.

O aviso da Coinkite e a análise da Block circularam em horas. Quem acompanha o ecossistema leu, entendeu o que estava em risco, verificou o próprio modelo e o próprio firmware, e agiu. Quem comprou um aparelho em 2021, guardou na gaveta e nunca mais leu nada sobre o assunto só descobriu no dia em que o saldo estava zerado.

Não é sobre olhar preço. É sobre estar por perto quando a informação que importa aparece.

E vale lembrar que isso não é inédito: em 2023, o caso Milk Sad mostrou a mesma classe de erro em outra ferramenta, o gerador do Libbitcoin Explorer semeado apenas com o relógio do sistema. Erro diferente, causa idêntica: entropia de mentira.

O que fazer hoje

1. Descubra como sua seed foi gerada. Aparelho, modelo, firmware, ano. Se não souber, trate como suspeita.
2. Se usa Coldcard, confira o modelo e a versão contra a tabela acima e o aviso oficial. Atualize o firmware, e, se a seed foi criada em versão afetada sem dados e sem passphrase forte, migre os fundos para uma seed nova.
3. Não gere seed nova em firmware desatualizado. Atualize primeiro.
4. Adote passphrase com um plano de guarda que sobreviva a você.
5. Ao criar a próxima seed, use dados. Cinquenta lançamentos, no mínimo, sozinho, sem registrar em lugar nenhum.
6. Crie o hábito de acompanhar, ou tenha alguém que acompanhe por você.

Se você quer fazer isso bem acompanhado

A parte técnica da autocustódia assusta, e com razão: o erro é silencioso e o prejuízo é definitivo. Mas ela é aprendível, e é muito mais tranquila quando alguém caminha junto na primeira vez.

Na Consultoria da Baleia eu faço exatamente isso, individualmente: geração de seed com entropia verificável, uso correto de passphrase, plano de backup que resiste a incêndio e a esquecimento, teste de restauração antes de qualquer depósito, e a leitura contínua do que acontece no ecossistema, para que um aviso como o da Coldcard chegue até você antes do ladrão.

Bitcoin recompensa quem guarda bem. E guardar bem começa com um sorteio de verdade.