Desde o início de 2026, seis marcas de carteiras físicas de criptoativos divulgaram problemas de segurança. Há perdas confirmadas associadas à Coldcard e a um distribuidor da Ledger, num caso que envolve dispositivos alegadamente adulterados antes da entrega. Alguns equipamentos Ledger afetados poderão ter chegado a mercados fora do Sudeste Asiático, mas o número de dispositivos e utilizadores continua por apurar. Para quem guarda ativos offline, os riscos não se limitam ao aparelho: incluem também a geração das chaves, os controlos da cadeia de abastecimento e a gestão dos dados dos clientes.
Falha na geração de chaves da Coldcard associada a perdas
A 30 de julho, ladrões começaram a transferir ativos de algumas carteiras Coldcard. O incidente foi associado à falta de aleatoriedade no processo de geração das chaves privadas. Mais tarde, a Galaxy Research estimou que as perdas relacionadas com a Coldcard ultrapassavam 115 milhões de dólares.
O caso mostra que uma carteira física não protege os ativos se o processo subjacente de criação das chaves tiver uma vulnerabilidade. A segurança depende, portanto, não só de manter as chaves offline, mas também de garantir que são geradas de forma segura.
Testes com laser exigiram acesso físico e equipamento especializado
Em junho, a equipa interna de segurança da Ledger testou ataques com laser contra o chip utilizado na Trezor Safe 7. Em julho, realizou um teste semelhante a cartões Tangem. Em ambos os casos, os investigadores precisaram de acesso físico aos dispositivos e de equipamento laboratorial especializado.
A Trezor afirmou que os fundos dos utilizadores não foram afetados. A Tangem descreveu o risco para utilizadores comuns como «praticamente inexistente» e observou que os investigadores pertenciam a uma empresa concorrente.
BitBox corrigiu falhas de firmware sem registo de furtos
A BitBox corrigiu várias vulnerabilidades de firmware em agosto. Os engenheiros da empresa classificaram as falhas como graves, mas não foram comunicados furtos de fundos associados ao caso.
A comparação com o incidente da Coldcard evidencia que os problemas de segurança podem ter consequências muito diferentes. Para avaliar o risco prático, importa saber se o ataque exige acesso físico ao dispositivo e se a vulnerabilidade já foi explorada.
Fugas de dados e adulteração de dispositivos trazem riscos distintos
Outros incidentes afetaram dados pessoais sem expor diretamente as chaves das carteiras. Um parceiro de entregas utilizado pela Trezor divulgou dados de 13.689 compradores. Uma violação de dados da SafePal envolveu quase 40.000 moradas residenciais.
A exposição de moradas pode criar riscos para a privacidade e facilitar ameaças posteriores, mas as informações disponíveis não indicam que estes incidentes tenham levado diretamente ao roubo de criptoativos.
O caso da Ledger está relacionado com a cadeia de abastecimento: os dispositivos terão sido alterados antes de chegarem aos compradores. Até agora, não foram divulgados o número de aparelhos afetados, os canais de venda envolvidos nem o destino exato dos dispositivos fora do Sudeste Asiático. O que está confirmado é que seis marcas divulgaram problemas de segurança em 2026 e que há perdas de criptoativos associadas à Coldcard e a um distribuidor da Ledger. A dimensão potencial da distribuição dos dispositivos alegadamente adulterados continua por esclarecer.