El mayor golpe a la autocustodia: los hackers retiraron más de 1700 BTC de los monederos de hardware Coldcard
Una campaña masiva contra los usuarios de los monederos hardware Coldcard ha provocado pérdidas de al menos 1778,84 BTC, unos $112,7 millones al tipo de cambio actual. Durante la investigación, que llevé a cabo junto con el equipo de análisis Galaxy Research, se confirmó el robo de fondos de más de 8600 direcciones pertenecientes a 190 víctimas. Sin embargo, el daño real es probablemente mucho mayor: teniendo en cuenta los episodios no confirmados, el volumen robado podría alcanzar los 2417,35 BTC (~$153 millones).
La raíz del problema: un error en la generación de entropía
El ataque comenzó no más tarde de la mañana del 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables y luego transfirieron los fondos a direcciones controladas. La causa radica en una actualización del firmware de Coinkite de 2021: debido a un fallo, el generador de números aleatorios funcionaba incorrectamente y los dispositivos cambiaban imperceptiblemente a una fuente de entropía que resultó ser críticamente insuficiente para proteger las claves privadas. El problema existió durante años, pero solo se manifestó ahora: con suficiente potencia computacional, los hackers pudieron reproducir las claves.
Los ataques cesaron, pero los bitcoines se ocultan
La última cadena confirmada de hackeos data del 6 de agosto. Después de esa fecha, nuevas víctimas continúan contactando a los analistas, pero no se han detectado casos confirmados de explotación adicional de la vulnerabilidad. Es probable que los ataques hayan cesado o porque los propietarios lograron transferir sus fondos, o porque los activos disponibles ya se habían agotado. Es importante destacar: no se trata de un solo hacker: identifiqué al menos 33 rastros de actividad separados, lo que indica el uso simultáneo de la vulnerabilidad por varios grupos.
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen en las direcciones de los atacantes. Los ~246 BTC restantes ya se han movido: el 65% pasó por transacciones CoinJoin, que dificultan el rastreo, y el 35% mediante el esquema Peel Chain, donde pequeñas microtransferencias se separan repetidamente de grandes sumas. Una pequeña parte de los fondos se detectó en exchanges centralizados y puentes cross-chain; he enviado las listas de direcciones a los departamentos de cumplimiento y a las autoridades policiales.
Un golpe a la narrativa de la autocustodia
La particularidad del incidente radica en el perfil de las víctimas. No son novatos que arriesgaron en protocolos DeFi, sino entusiastas conservadores de Bitcoin que confiaron sus activos a monederos hardware como el estándar de oro de la seguridad. Las consecuencias no se hicieron esperar: en los primeros cuatro días de ataques, más de 22 000 BTC llegaron a los exchanges, y para el 8 de agosto el saldo agregado en las plataformas alcanzó un máximo histórico de 3,683 millones de BTC. Esta es una clara señal de pánico entre los tenedores.
La multifirma y la IA como nuevos factores de riesgo
Es revelador que ningún robo confirmado se haya realizado desde direcciones multisig. Los servicios Casa y Anchorwatch registraron un fuerte aumento de clientes, pero, como señala acertadamente el cofundador de Unchained, Dhruv Bansal, la victoria de las soluciones de custodia sobre las no custodiales es un falso dilema. El problema está en el punto único de fallo: ya sea el exchange, el fabricante o el propio usuario. El incidente obliga a reconsiderar el enfoque de almacenamiento en favor de distribuir el riesgo entre varias claves.
Por separado, preocupa el uso de la IA. Parte de los atacantes, según parece, utilizó LLM abiertos chinos sin restricciones de ciberseguridad, mientras que los investigadores de Bitcoin Red Team, por el contrario, se enfrentaron a bloqueos de los principales modelos estadounidenses. Este es un desequilibrio alarmante: las capacidades de búsqueda de vulnerabilidades se vuelven más accesibles para los atacantes que para los defensores.
Mi comentario: Este incidente no es solo un fallo técnico, sino un desafío sistémico para toda la industria. Si antes confiábamos en la reputación de los fabricantes y la complejidad de los ataques, ahora es evidente: incluso los dispositivos "impenetrables" pueden tener defectos ocultos que esperan su momento durante años. El mercado necesita estándares de auditoría de entropía y pruebas obligatorias de firmware por laboratorios independientes; de lo contrario, la confianza en la autocustodia se verá socavada definitivamente. En medio de pérdidas récord de $1,1 mil millones por hackeos en la primera mitad de 2026, este ataque se convertirá en un punto de inflexión en la evolución del almacenamiento de Bitcoin.