As carteiras offline, também conhecidas como hardware wallets ou carteiras frias, voltaram ao centro do debate sobre segurança em criptoativos após uma sequência de incidentes envolvendo fabricantes e fornecedores do setor. Embora esses dispositivos sejam considerados uma das formas mais seguras de guardar Bitcoin e outros ativos digitais, casos recentes mostram que os riscos passaram a ir além da conexão com a internet.Em menos de um mês, três episódios envolvendo Coldcard, Trezor e SafePal resultaram no roubo de mais de US$ 110 milhões em Bitcoin e na exposição de dados pessoais de mais de 53 mil usuários, segundo levantamento da DSec Labs, empresa brasileira especializada em infraestrutura blockchain e segurança de ativos digitais.A avaliação da companhia é que os criminosos estão ampliando o foco para toda a cadeia da autocustódia. Isso inclui não apenas o dispositivo físico, mas também o software usado para gerar chaves, os fornecedores de logística, os sistemas de pedidos e as informações pessoais de quem compra esse tipo de equipamento.“Durante muito tempo, o mercado concentrou a discussão na diferença entre deixar os ativos em uma corretora ou armazená-los em uma carteira offline. Os ataques recentes mostram que a análise precisa ser mais ampla”, afirma Guilherme Campos, cofundador e COO da DSec Labs. Segundo ele, a segurança envolve “a geração da chave, o dispositivo, o software, o backup, os fornecedores e até as informações pessoais associadas à compra do equipamento”.O caso mais grave citado pela empresa envolve a Coldcard, carteira física da canadense Coinkite. Uma falha no processo de geração de frases-semente reduziu a aleatoriedade das chaves em determinados modelos, tornando algumas combinações mais previsíveis. Na prática, isso permitiu que criminosos testassem possíveis chaves até encontrar endereços com saldo.A própria Coinkite publicou um alerta informando que sementes geradas em versões afetadas de firmware poderiam estar em risco caso não tivessem sido criadas com aleatoriedade adicional, como 50 lançamentos privados de dados, e sem uma senha BIP-39 forte. A empresa também afirmou que modelos mais novos foram afetados por um nível de entropia inferior ao esperado antes das correções.Reportagens recentes apontaram perdas que variam conforme a fase da apuração. A CoinDesk informou inicialmente um roubo de cerca de 594 BTC, avaliados em aproximadamente US$ 38 milhões, ligado a uma falha na geração de chaves em carteiras Coldcard. Dias depois, a mesma cobertura relatou que o ataque havia se espalhado para milhares de endereços, com perdas próximas de US$ 89 milhões.Vazamentos expõem usuários a golpes e ameaças físicasNos casos da Trezor e da SafePal, o problema não envolveu acesso direto às chaves privadas ou aos fundos dos usuários, mas a exposição de dados pessoais. Ainda assim, esse tipo de vazamento é considerado sensível porque identifica pessoas que compraram carteiras físicas e, portanto, podem manter criptoativos sob autocustódia.A Trezor informou que uma invasão a um fornecedor de logística expôs dados de clientes, incluindo nomes, e-mails, telefones e endereços de entrega em parte dos casos. Segundo o release da DSec Labs, cerca de 13,7 mil clientes foram afetados.A empresa afirmou que as carteiras, chaves privadas e recursos dos usuários não foram comprometidos. O risco, porém, está no uso dessas informações para tentativas de phishing, falsos contatos de suporte, extorsões ou abordagens presenciais.A SafePal também confirmou um incidente recente. Segundo a Reuters, a empresa divulgou em agosto um vazamento que atingiu 39.798 clientes, com exposição de informações de pedidos, incluindo nomes, endereços e dados de compra. A companhia afirmou que senhas, chaves privadas, frases-semente e fundos não foram comprometidos.Para a DSec Labs, a preocupação é que esses dados permitam ataques mais personalizados. Com nome, telefone, endereço e modelo adquirido, criminosos conseguem simular mensagens de atualização obrigatória, recolhimento de dispositivo, correção de vulnerabilidade ou verificação de segurança. O objetivo costuma ser induzir a vítima a informar a frase-semente, que dá acesso total à carteira.“A chave privada não precisa aparecer diretamente em um vazamento para que exista um risco relevante. Quando os dados permitem identificar quem possui uma carteira e onde essa pessoa mora, os criminosos ganham informações suficientes para construir ataques digitais ou físicos muito mais direcionados”, diz Toni Farias, CPTO da DSec Labs.O alerta ganha peso porque casos envolvendo fornecedores e dados de compra não são novidade no setor. Um exemplo lembrado por especialistas é o vazamento da Ledger em 2020, quando uma falha de e-commerce expôs cerca de 1 milhão de e-mails e 272 mil endereços físicos, dados que continuaram sendo usados em golpes nos anos seguintes.Autocustódia exige mais do que guardar a carteira fora da internetOs incidentes não significam que carteiras offline deixaram de ser uma alternativa segura, mas reforçam que a autocustódia depende de procedimentos mais amplos. A proteção não está apenas em manter o dispositivo desconectado, mas em como a chave é gerada, como o backup é armazenado, como o equipamento é comprado e como o usuário reage a contatos suspeitos.A DSec Labs afirma que a inteligência artificial pode tornar esse cenário mais perigoso, ao permitir que criminosos analisem bases vazadas, cruzem dados pessoais e produzam mensagens mais convincentes em larga escala. Isso não significa que a IA consiga quebrar a criptografia do Bitcoin, mas que ela pode explorar vulnerabilidades já existentes e tornar golpes mais difíceis de identificar.“A inteligência artificial não quebra uma chave corretamente gerada. Ela potencializa vulnerabilidades que já existem e torna os ataques mais rápidos, personalizados e difíceis de identificar”, afirma Farias.Como resposta a esse cenário, a DSec Labs desenvolveu a ColdKit, solução voltada ao armazenamento offline das informações necessárias para controlar uma carteira de Bitcoin. A proposta é reduzir o contato de dados sensíveis com celulares, computadores, aplicativos, nuvem e outros ambientes conectados à internet.A própria empresa, no entanto, afirma que nenhuma solução deve ser tratada como invulnerável. A segurança continua dependendo da geração correta das chaves, da proteção física do backup e do comportamento do usuário.Entre as recomendações estão acompanhar comunicados oficiais dos fabricantes, nunca compartilhar a frase-semente com supostas equipes de suporte, desconfiar de contatos sobre falhas de segurança, evitar armazenar palavras de recuperação em fotos, e-mails ou nuvem, fazer transações de teste e considerar mecanismos adicionais para grandes valores, como múltiplas assinaturas.“Os ataques devem continuar migrando para os pontos menos protegidos da cadeia. À medida que fabricantes reforçam os dispositivos, os criminosos procuram fornecedores, dados pessoais e o próprio comportamento do usuário”, afirma Leonardo Maximiliano, cofundador e CEO da DSec Labs.Quer investir na maior criptomoeda do mundo? No MB, você começa em poucos cliques e de forma totalmente segura e transparente. Não adie uma carteira promissora e faça mais pelo seu dinheiro. Abra sua conta e invista em bitcoin agora!O post Guardar Bitcoin em carteiras offline ainda é seguro? Ataques recentes reacendem debate apareceu primeiro em Portal do Bitcoin.