El mayor golpe a la autocustodia: los hackers extrajeron 1778 BTC de los monederos hardware Coldcard
Una campaña masiva contra los propietarios de monederos hardware Coldcard resultó en el robo de al menos 1778,84 BTC, equivalente a $112,7 millones. Mis colegas de Galaxy Research confirmaron al menos 190 víctimas y más de 8600 direcciones comprometidas. Además, si se tienen en cuenta los episodios no confirmados, el daño real podría alcanzar los 2417,35 BTC (~$153 millones). Después del 6 de agosto no se han registrado nuevos hackeos confirmados.
La raíz del problema: un generador de entropía defectuoso
El ataque comenzó el 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables. La causa es un error en el firmware de Coinkite de 2021. La actualización cambió el mecanismo de generación de entropía criptográfica, pero debido a un bug, los dispositivos cambiaban imperceptiblemente a una fuente con aleatoriedad insuficiente. El problema existió durante años, pero solo ahora los atacantes tuvieron la potencia computacional para reproducir las claves privadas.
Cese de los ataques y múltiples rastros
Galaxy sugiere que los ataques cesaron o bien por la migración de fondos de los usuarios, o por el agotamiento de la "presa fácil". Es importante señalar que esto no es obra de un individuo: los investigadores identificaron al menos 33 rastros de actividad separados, lo que indica el uso simultáneo de la vulnerabilidad por varios grupos. A todos los propietarios de Coldcard de firma única les recomiendo encarecidamente mover sus activos de inmediato.
El destino de las monedas robadas
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen en las direcciones de los atacantes. Los ~246 BTC restantes ya han sido movidos: el 65% pasó por CoinJoin para ofuscar los rastros, y el 35% siguió el esquema Peel Chain, donde las grandes sumas se dividen en microtransacciones. Parte de los fondos se ha visto en exchanges centralizados y puentes cross-chain. Galaxy ha entregado listas de direcciones a exchanges y autoridades.
Ironía del destino y golpe al relato
El mayor golpe se ha asestado a la ideología del autocustodia. Las víctimas no son especuladores imprudentes, sino conservadores que confiaron en monederos hardware "inexpugnables". Tras el inicio de los ataques, un flujo masivo llegó a los exchanges: en los primeros cuatro días, más de 22 000 BTC, y para el 8 de agosto, el saldo en las plataformas alcanzó un máximo histórico de 3,683 millones de BTC. Esta es una reacción clásica de miedo.
La multifirma como salvación
Es revelador que ningún robo confirmado haya afectado a direcciones multisig. Los servicios Casa y Anchorwatch registran una afluencia repentina de clientes. Sin embargo, como señala acertadamente Dhruv Bansal de Unchained, la victoria de las soluciones de custodia es una ilusión. El problema reside en el punto único de fallo, ya sea un exchange, un proveedor o el propio usuario. Distribuir el riesgo entre varias claves es el único camino razonable.
La IA del lado del mal
Por separado, señalo una señal alarmante: Galaxy asocia con alta probabilidad parte de los ataques al uso de LLM chinos de código abierto sin restricciones de ciberseguridad. Mientras los investigadores de Bitcoin Red Team sufren la censura de los modelos de IA estadounidenses, los atacantes obtienen acceso a potentes herramientas de búsqueda de vulnerabilidades. Esto solo subraya que, en la primera mitad de 2026, las pérdidas por hackeos ya alcanzaron los $1,1 mil millones, y probablemente veremos nuevos récords.
Mi veredicto: Este incidente no es solo un fallo técnico, sino un desafío fundamental a la confianza en los monederos hardware. Demuestra que incluso el almacenamiento "en frío" no es una protección absoluta si hay un defecto oculto en la cadena de generación de claves. Los inversores deberían reconsiderar sus estrategias: la multifirma y la diversificación de la infraestructura se convierten no en una opción, sino en una necesidad.