🚨 COLDCARD COMPROMETIDA

Se você usa Coldcard, VERIFIQUE SEU SETUP AGORA!

Versões: relatos de usuários de MK2 a MK4

Linha temporal:

Um usuário no reddit postou que sua wallet havia sido drenada (quase 0.8 BTC):
https://www.reddit.com/r/Bitcoin/comments/1vatgl4/full_panic_one_of_my_wallets_was_drained/?share_id=dbXkY32m26-454jOIP0zV&utm_content=1&utm_medium=android_app&utm_name=androidcss&utm_source=share&utm_term=1

Pesquisando sobre o incidente, chegou-se a este endereço, que não roubou apenas os 0.8 BTC do usuário. Outros diversos endereços, utilizando UTXO's de 0.15 BTC pra cima, fizeram envios entre os dias 29/07 e hoje 30/07 pro mesmo endereço:
https://mempool.space/pt/address/bc1qnk4zh9qcnap2mycp56qjrgza3cc8ylrh8fecp0

Coinkite, empresa que fabrica a Coldcard, já se manifestou. Ainda não oficializaram o que de fato gerou a vulnerabilidade. Comunidade dev alega entropia fraca em versões pontuais da firmware.
https://blog.coinkite.com/coldcard-mk3-seed-generation-warning/

Todos os usuários afetados estavam usando:

. Coldcard MK2 a MK4
. Seeds geradas DIRETAMENTE na coldcard
. Todos os afetados NÃO USAVAM PASSPHRASE

COMO SE PROTEGER DESSE CENÁRIO?

Use passphrase - Hardware wallets gravam em si somente a seed comum que você gerou. Qualquer passphrase altera completamente a seed, e o dispositivo não salva a alteração. Então se um dia você descobrir que utilizou uma firmware com baixa entropia, terá menos chances de ser afetado se utilizou passphrase.

. Aprenda multisig - Se não deseja confiar somente a um dispositivo, tenha 2 dispositivos diferentes e faça setup multisig (setup onde 2 ou mais chaves precisam assinar para enviar fundos). No meu canal no youtube, tem um vídeo ensinando como fazer isso:
https://youtu.be/AAXtgmb0D1Y?si=GHX8yuqdokEVSGgA