says $594M but the content says 594 bitcoin. That might be a discrepancy, but we

tags. Translate the text. Let's do a paragraph by paragraph translation. Original:

A firmware flaw in Coldcard hardware wallets weakened the random number generator used to create seed phrases, leading to the theft of roughly 594 bitcoin from about 500 single-signature wallets on July 30–31, 2026. The vulnerability affected Mk3, Mk4, Mk5, and Q devices running specific firmware versions, replacing the hardware random number generator with a predictable software substitute. That cut entropy from 128 bits down to 72 bits — enough to make some seeds guessable.

Translation:

Uma falha de firmware nas carteiras de hardware Coldcard enfraqueceu o gerador de números aleatórios usado para criar frases-semente, levando ao roubo de aproximadamente 594 bitcoins de cerca de 500 carteiras de assinatura única em 30–31 de julho de 2026. A vulnerabilidade afetou dispositivos Mk3, Mk4, Mk5 e Q que executavam versões específicas de firmware, substituindo o gerador de números aleatórios por hardware por um substituto de software previsível. Isso reduziu a entropia de 128 bits para 72 bits — o suficiente para tornar algumas sementes adivinháveis.

Note: "seed phrases" -> "frases-semente" or "frases de semente" but commonly "frases-semente" is used. "single-signature wallets" -> "carteiras de assinatura única". "entropy" -> "entropia". "guessable" -> "adivinháveis". Next:

How the flaw worked

Como a falha funcionou

The bug lived in the seed generation code. On Mk3 devices with firmware 4.0.1 through 5.0.3, and on Mk4 and Mk5 devices before version 5.6.0, as well as Q devices before 1.5.0Q, the hardware random number generator was swapped out. Instead of drawing on the chip's true random source, the firmware fell back to a software-based generator that was far less random. The result: seeds with only 72 bits of entropy instead of the intended 128. That's a difference of 2^56 possible seeds — a gap that made brute-force attacks feasible for well-resourced adversaries.

O bug estava no código de geração de sementes. Em dispositivos Mk3 com firmware 4.0.1 até 5.0.3, e em dispositivos Mk4 e Mk5 antes da versão 5.6.0, bem como dispositivos Q antes de 1.5.0Q, o gerador de números aleatórios por hardware foi substituído. Em vez de usar a fonte aleatória real do chip, o firmware recorreu a um gerador baseado em software que era muito menos aleatório. O resultado: sementes com apenas 72 bits de entropia em vez dos 128 pretendidos. Isso é uma diferença de 2^56 sementes possíveis — uma lacuna que tornou ataques de força bruta viáveis para adversários com bons recursos.

Who was at risk

Quem estava em risco

Not every Coldcard user was vulnerable. The risk depended on the device version and how the seed was generated. Seeds created with a BIP-39 passphrase or with at least 50 dice rolls were not considered compromised. The main exposure hit single-signature wallets, where one seed controls all funds. Multisignature setups require additional keys, so they were less affected. The attackers swept funds from roughly 500 wallets, suggesting they targeted seeds that were generated on the vulnerable firmware without extra entropy sources.

Nem todo usuário da Coldcard estava vulnerável. O risco dependia da versão do dispositivo e de como a semente foi gerada. Sementes criadas com uma frase de recuperação BIP-39 ou com pelo menos 50 lançamentos de dados não foram consideradas comprometidas. A principal exposição afetou carteiras de assinatura única, onde uma semente controla todos os fundos. Configurações de múltiplas assinaturas exigem chaves adicionais, portanto foram menos afetadas. Os atacantes roubaram fundos de cerca de 500 carteiras, sugerindo que eles miraram sementes geradas no firmware vulnerável sem fontes extras de entropia.