El mayor golpe a la autocustodia: el hackeo de Coldcard resultó en la pérdida de 1778 BTC
Un ataque masivo contra los monederos hardware Coldcard ha provocado pérdidas sin precedentes: se ha confirmado el robo de al menos 1778,84 BTC, lo que equivale a 112,7 millones de dólares. Sin embargo, según mis datos, la cifra final podría ser mucho mayor: teniendo en cuenta los episodios no confirmados, se habla de 2417,35 BTC (~153 millones de dólares). Es importante señalar que después del 6 de agosto no se registraron nuevos hackeos exitosos.
Mi análisis del incidente muestra que no se trata de un robo común, sino de un error sistémico arraigado años atrás. En 2021, el fabricante Coinkite actualizó el firmware, modificando el mecanismo de generación de entropía. Debido a un bug, el generador de números aleatorios funcionaba incorrectamente, y los dispositivos cambiaban imperceptiblemente a una fuente de entropía que resultó ser catastróficamente débil para proteger las claves privadas. El problema permaneció oculto durante varios años, pero los atacantes, con suficiente potencia computacional, pudieron reproducir las claves y vaciar sistemáticamente los monederos a partir del 30 de julio de 2026.
El ataque cesó, pero el resentimiento persiste
Galaxy Research se puso en contacto con 190 afectados y confirmó el robo de más de 8600 direcciones. El cese de los ataques se explica o bien porque los usuarios lograron transferir sus fondos, o bien porque los activos disponibles ya se han agotado. Es notable que, según los rastros de actividad, actuaron al menos 33 atacantes diferentes: varios grupos aprovecharon la vulnerabilidad simultáneamente.
De los 1778 BTC robados, alrededor de 1531 BTC permanecen aún en las direcciones de los hackers. Los 246 BTC restantes se están blanqueando activamente: el 65% pasó por CoinJoin, y el 35% a través de esquemas Peel Chain. Una pequeña parte se ha detectado en exchanges centralizados y puentes cross-chain, y las listas de direcciones ya se han entregado a reguladores y exchanges para su bloqueo.
Un golpe a la narrativa de la autocustodia
Este incidente no es solo una pérdida financiera. Las víctimas fueron precisamente aquellos usuarios que abordaban la autocustodia con la máxima responsabilidad: no usaban exchanges dudosos ni protocolos DeFi arriesgados, sino que confiaban en los monederos hardware como estándar de seguridad. Ahora, esa narrativa se ha visto socavada. Tras el inicio de los ataques, se observó una afluencia masiva de bitcoins a los exchanges: en los primeros cuatro días llegaron más de 22 000 BTC, y para el 8 de agosto el saldo en plataformas centralizadas alcanzó un máximo histórico de 3,683 millones de BTC.
Es revelador que ningún robo confirmado haya afectado a direcciones multisig. Esto provocó un aumento del interés en las soluciones multisig: los servicios Casa y Anchorwatch informaron de un crecimiento de clientes. Sin embargo, como señala acertadamente el cofundador de Unchained, Dhruv Bansal, la victoria de los servicios de custodia aquí no es absoluta. El problema reside en el punto único de fallo, ya sea un exchange, un fabricante o el propio usuario.
La IA como nuevo factor de amenaza
Por separado, señalaré una señal alarmante: parte de los atacantes probablemente utilizó modelos de IA sin restricciones en ciberseguridad, incluidos LLM abiertos chinos. Esto subraya que las herramientas para buscar y explotar vulnerabilidades se vuelven más accesibles no solo para los investigadores, sino también para los delincuentes. Teniendo en cuenta que en la primera mitad de 2026 los proyectos cripto ya perdieron 1100 millones de dólares debido a hackeos, este caso es un recordatorio contundente de que incluso las soluciones más fiables requieren una revisión.
Mi veredicto: el incidente de Coldcard no es solo un fallo técnico, sino un cambio tectónico en la percepción de la seguridad. Confiar en un único monedero hardware implica ignorar riesgos que no podemos prever. La distribución de claves e infraestructura es el único camino razonable hacia adelante.