# Coldcard reconhece que falha pode afetar modelos Mk4, Mk5 e Q, e lança novos firmwares de correção
[](https://livecoins.com.br/wp-content/uploads/2026/07/carteiras-coldcard.jpg)
Empresa afirma que TAPSIGNER, OPENDIME e SATSCARD não foram afetados porque utilizam bases de códigos diferentes. Imagem: Coldcard/Redes sociais/Reprodução.
Após usuários relatarem [**perdas de R$ 38,5 milhões em Bitcoin possivelmente ligadas às carteiras da Coldcard**](
a empresa reconheceu que seus dispositivos contêm uma vulnerabilidade que gera seeds inseguras.
Na primeira nota, a Coldcard afirmou que a falha estava ligada somente aos modelos Mk3. No entanto, em novo texto publicado nesta sexta-feira (31), a empresa aponta que os modelos Mk4, Mk5 e Q também foram afetados.
Identificada a falha, a empresa lançou novos firmwares para corrigi-la. A recomendação é que usuários façam a atualização e, após isso, gerem uma nova seed.
**Compre Bitcoin e criptomoedas**
no maior banco de investimentos da América Latina. Acesse
[Mynt.com.br](
## Coldcard dá sua primeira explicação sobre vulnerabilidade que fez usuários perderem mais de 594 bitcoins
Rodolfo Novak, fundador da Coinkite, desenvolvedora da Coincard, afirmou em um primeiro momento que os rumores sobre suas carteiras estarem comprometidas eram apenas rumores e a vulnerabilidade não havia partido de seus dispositivos.
[](https://bitlist.co)
No entanto, conforme mais clientes da Coldcard começaram a relatar os mesmos problemas, a empresa acabou reconhecendo uma possível falha nos modelos Mk3. Novak apagou todos os seus tuítes onde negava essas informações.
Em nota publicada nesta sexta-feira (31), a empresa publicou um resumo sobre a vulnerabilidade encontrada.
> “Uma sequência complexa e sutil de bugs impediu que o RNG (gerador de números aleatórios) de hardware contribuísse com aleatoriedade em determinadas versões do firmware. Não tínhamos conhecimento desse bug até hoje. Alterações introduzidas para o Mk4 adicionaram entropia proveniente do SE1 e do SE2, reduzindo parcialmente o impacto nos modelos mais recentes, mas sem restaurar o objetivo pretendido de 128 bits de segurança.”
Seguindo, a empresa nota que o código-fonte da Coldcard sempre foi aberto e assume que alguém utilizou ferramentas de Inteligência Artificial (IA) para revisar versões de firmware antigas e encontrar a falha.
> “Há algumas semanas, usamos um dos melhores modelos de IA disponíveis para revisar nosso código em busca de problemas de segurança, e ele não encontrou esse bug nem qualquer outro problema grave. Atacantes e defensores dispõem das mesmas ferramentas de IA, mas, desta vez, elas não nos ajudaram e apenas beneficiaram os invasores.”
Dando detalhes técnicos sobre o ocorrido, a empresa afirma que a falha estava presente desde 2021, quando migraram suas operações de curva elíptica para a biblioteca libsecp256k1 do Bitcoin Core, o que exigia a adição de uma biblioteca chamada libNgU.
**“A escolha criptográfica foi correta. A integração não foi”**, reconhece a empresa, notando que a maior parte da aleatoriedade de suas carteiras provinha de um PRNG (gerador pseudo-aleatório de números) que os desenvolvedores não sabiam que estava sendo usado.
> “Ao mesmo tempo, o código de TRNG (gerador verdadeiramente aleatório de números) cuidadosamente desenvolvido por mim estava sendo utilizado, mas apenas por acaso e somente para funções menos importantes.”
## Empresa aponta que modelos Mk3, Mk4, Mk5 e Q possuem vulnerabilidade
Quanto aos modelos afetados, a empresa afirma que a Mk3, alvo do ataque de 594 bitcoins, possui somente 40 bits de segurança efetiva, quando deveria ter 128.
Os modelos Mk4, Mk5 e Q teriam 72 bits, por misturarem valores de TRNG com PRNG, mas também ficam abaixo do valor recomendado.
Ou seja, 40 bits representam 2⁴⁰ possibilidades (1,1 trilhão), 72 bits representam 2⁷² (4,7 sextilhões) e 128 bits representam 2¹²⁸ (340 undecilhões, um número muito maior). Tentando explicar a diferença entre os números em relação ao objetivo de 128 bits, a aleatoriedade seria 10²⁶ vezes mais fraca para o primeiro caso e 72 quadrilhões de vezes para o segundo.
## Coldcard recomenda que usuários atualizem o firmware para nova versão
Ainda falando sobre os dispositivos afetados, a Coldcard aponta que a falha estava presente desde março de 2021 no modelo Mk3, afetando as versões de firmware a partir da 4.0.1 até a 4.1.9.
- **“Atualize o Mk3 para o firmware 4.2.0 ou posterior antes de gerar uma seed de substituição.**
- **Gere uma seed completamente nova no Mk3 atualizado.**
- **Registre e verifique o novo backup, a impressão digital (fingerprint) da carteira e um endereço de recebimento.**
- **Envie uma pequena transação de teste antes de mover o restante dos fundos.**
- **Mantenha o backup antigo até que a migração seja concluída e confirmada.**
- **Siga o comunicado de segurança dedicado ao Mk3 e as instruções de migração.**
- **Proceda com calma e verifique cada etapa.”**
A empresa também lançou o firmware 5.6.0 para os modelos Mk4 e Mk5, bem como o firmware 1.5.0Q para o modelo Q, recomendando instruções semelhantes às listadas acima. Os downloads podem ser feitos no site oficial da Coldcard.
Por fim, até o fechamento desta matéria, a empresa não se pronunciou sobre possíveis reembolsos aos clientes afetados pela vulnerabilidade.
**Compre Bitcoin e criptomoedas** no maior banco de investimentos da América Latina. Acesse [Mynt.com.br](
[](https://livecoins.com.br/author/kalashnikov/ "Henrique HK")
[Henrique HK](
[https://github.com/sabotag3x](https://github.com/sabotag3x)
Formado em desenvolvimento web há mais de 20 anos, Henrique Kalashnikov encontrou-se com o Bitcoin em 2016 e desde então está desvendando seus pormenores. Tradutor de mais de 100 documentos sobre criptomoedas alternativas, também já teve uma pequena fazenda de mineração com mais de 50 placas de vídeo. Atualmente segue acompanhando as tendências do setor, usando seu conhecimento para entregar bons conteúdos aos leitores do Livecoins.
"carteiras coldcard")](https://livecoins.com.br/wp-content/uploads/2026/07/carteiras-coldcard.jpg)
Empresa afirma que TAPSIGNER, OPENDIME e SATSCARD não foram afetados porque utilizam bases de códigos diferentes. Imagem: Coldcard/Redes sociais/Reprodução.
Após usuários relatarem [**perdas de R$ 38,5 milhões em Bitcoin possivelmente ligadas às carteiras da Coldcard**](
Livecoins
Usuários relatam perdas de US$ 38,5 milhões em Bitcoin em possíveis ataques ligados à Coldcard
Usuários da Coldcard relatam perdas de US$ 38,5 milhões em Bitcoin e empresa afirma que carteiras Mk3 podem ter vulnerabilidade.

Bitcoin, Ethereum, Solana e outras Criptomoedas | Mynt
Compra e venda de bitcoin, ethereum e outros criptoativos com a credibilidade do BTG Pactual. Abra sua conta.

Bitcoin, Ethereum, Solana e outras Criptomoedas | Mynt
Compra e venda de bitcoin, ethereum e outros criptoativos com a credibilidade do BTG Pactual. Abra sua conta.

Livecoins
Henrique HK
Há mais de 5 anos trabalhando com criptomoedas, hoje escrevo artigos e notícias para o Livecoins.

"Criptomoedas desabam com tarifas de Trump e incerteza global")
Foto: Divulgação
Resumo
- MPF reforça que partidos e candidatos não podem receber doações eleitorais em criptomoedas ou outras moedas virtuais
- Resolução nº 23.607/2019 do TSE proíbe doações financeiras por meio de moedas virtuais
- Vaquinha online é permitida desde que feita por pessoas físicas em plataformas registradas no TSE
- Doações via Pix são autorizadas se permitirem identificação do contribuinte e registro na prestação de contas
- Partidos que receberem doações ilegais podem sofrer multas e responder por abuso de poder econômico
O Ministério Público Federal reforçou que partidos e candidatos não podem receber doações eleitorais em criptomoedas ou outras moedas virtuais. A orientação foi publicada na série ‘Me explica, MPF’ e busca esclarecer as regras para financiamento de campanhas em ano eleitoral.
A legislação eleitoral veta doações financeiras para campanhas com o uso de moedas virtuais, segundo o MPF. O motivo central é a necessidade de transparência na origem dos recursos usados por partidos e candidatos.
Ativos digitais que circulam pela internet e usam criptografia para validar e proteger transações podem dificultar a identificação e o rastreamento de quem enviou os recursos, afirma o órgão. Por essa razão, não podem ser usados como forma de doação eleitoral.
## Resolução do TSE veta moedas virtuais
O MPF cita a Resolução nº 23.607/2019, do Tribunal Superior Eleitoral, que estabelece regras para arrecadação, gastos e prestação de contas de partidos e candidatos. A norma proíbe o recebimento de doações financeiras por meio de moedas virtuais.
A restrição vale mesmo num contexto de crescimento do uso de ativos digitais no Brasil. Para fins eleitorais, o ponto central não é apenas o meio de pagamento, mas a capacidade de fiscalização.
A Justiça Eleitoral e o Ministério Público Eleitoral precisam conseguir identificar de forma clara a origem do dinheiro, o doador e o caminho percorrido pelos recursos até a campanha.
## Vaquinha online é permitida, mas cripto não
O MPF destacou que moeda virtual não deve ser confundida com ‘vaquinha virtual’, ou financiamento coletivo eleitoral. A arrecadação pela internet é permitida, desde que feita por pessoas físicas, em plataformas digitais registradas e autorizadas pelo TSE.
Nesse modelo, todas as doações precisam identificar quem doou, e os recursos só podem ser usados após o registro da candidatura. Ou seja, a vaquinha online é uma forma permitida de arrecadação eleitoral, mas não autoriza o uso de criptomoedas como meio de doação.
As doações eleitorais devem ser identificadas e podem ser realizadas por transações bancárias com CPF do doador. O MPF também lembra que é possível doar via [P](
"Ética de Platão através de um Jogo - Nau dos Loucos")
](
"TST mantém condenação da Ortobom ao pagamento de R$ 300 mil por discriminação contra mulheres em promoções a cargos de chefia.")
TST mantém condenação da Ortobom ao pagamento de R$ 300 mil por discriminação contra mulheres em promoções a cargos de chefia.(Imagem: Gerada por IA)
O ministro ressaltou que o caso não tratava de discriminação direta, mas de um sistema de promoção que resultava na ocupação exclusivamente masculina dos cargos de gestão. Os depoimentos, segundo ele, apenas indicaram desconhecimento de episódios explícitos de discriminação, sem apresentar razões objetivas para explicar por que somente homens ocupavam essas funções.
Balazeiro destacou ainda que a empresa não apresentou elementos capazes de afastar o quadro fático reconhecido pelas instâncias ordinárias.
_"A prova da motivação interna do processo decisório empresarial raramente está ao alcance da parte discriminada, razão pela qual ganha relevo a exigência de demonstração objetiva dos critérios utilizados pela empresa."_
Diante da falta de explicação para a composição exclusivamente masculina dos cargos gerenciais, permaneceu caracterizada, para o relator, a discriminação indireta incompatível com o sistema de proteção à igualdade entre homens e mulheres.
O ministro observou ainda que o quadro fático reconhecido pelo TRT da 9ª região não poderia ser revisto pelo TST. Assim, eventual reforma da decisão exigiria reexame do conjunto fático-probatório, providência vedada pela [súmula 126 do TST](