El mayor golpe a la autocustodia: el hackeo de Coldcard costó 112 millones de dólares
Una campaña masiva de hackeo a los monederos hardware Coldcard ha provocado la pérdida de al menos 1778,84 BTC, lo que equivale a 112,7 millones de dólares al tipo de cambio actual. Mi análisis de los datos muestra que esto no es solo un incidente más, sino un fallo sistémico en los principios fundamentales de seguridad de la industria cripto.
Cronología y alcance del ataque
El ataque comenzó la mañana del 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables y transfirieron los fondos a direcciones controladas. Durante la investigación, se logró contactar con 190 afectados y confirmar el robo desde más de 8600 direcciones. Sin embargo, el daño real podría ser significativamente mayor: teniendo en cuenta los episodios no confirmados, el volumen robado se estima en 2417,35 BTC, o aproximadamente 153 millones de dólares.
La raíz del problema: un error en la generación de entropía
La causa radica en una actualización de firmware lanzada por el fabricante Coinkite en 2021. El cambio en el mecanismo de generación de entropía criptográfica provocó un error crítico: el nuevo generador de números aleatorios funcionaba incorrectamente, y los dispositivos cambiaban imperceptiblemente a una fuente alternativa de entropía que resultó ser fatalmente insuficiente para proteger las claves privadas. El problema existió durante años, pero solo se manifestó ahora, cuando los atacantes obtuvieron suficiente potencia computacional para reproducir las claves.
Cese de los ataques y nuevas amenazas
La última cadena de ataques confirmada data del 6 de agosto. Es probable que los ataques hayan cesado o porque los propietarios transfirieron los fondos a nuevas direcciones, o porque la mayor parte de los activos disponibles ya ha sido robada. Es importante señalar: no se trata de un único atacante: se han detectado al menos 33 rastros adicionales de actividad, lo que indica el uso simultáneo de la vulnerabilidad por varios grupos.
El destino de los fondos robados
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen aún en las direcciones de los atacantes. Aproximadamente el 65% de estos fondos ha pasado por transacciones CoinJoin, que dificultan seriamente el rastreo, mientras que el 35% se movió mediante el esquema Peel Chain, un método en el que se separan repetidamente pequeñas transacciones de una gran cantidad. Una pequeña parte fue detectada en exchanges centralizados y puentes entre cadenas, y las listas de direcciones ya han sido entregadas a las autoridades y empresas de cumplimiento.
Un golpe al relato de la autocustodia
Es especialmente notable que las víctimas fueran usuarios que abordaban la autocustodia de manera extremadamente responsable: no utilizaban exchanges dudosos ni protocolos DeFi arriesgados, sino que confiaban en monederos hardware, el estándar de oro en seguridad. Este incidente ha asestado un duro golpe a la confianza en el concepto de almacenamiento autónomo. Tras el inicio de los ataques, el número de transferencias a exchanges aumentó drásticamente: en los primeros cuatro días, más de 22 000 BTC llegaron a plataformas centralizadas, y el saldo agregado alcanzó un máximo histórico de 3,683 millones de BTC para el 8 de agosto.
Crecimiento del interés en la multisig y el papel de la IA
Es revelador que ningún robo confirmado se haya realizado desde direcciones protegidas con firma múltiple. Servicios como Casa y Anchorwatch ya informan de un aumento repentino de clientes. Esto confirma mi posición de larga data: un único punto de fallo, ya sea un exchange, un fabricante o el propio usuario, es el principal riesgo en la industria cripto. Distribuir el riesgo entre varias claves se convierte no en una recomendación, sino en una necesidad.
Merece especial atención el probable uso de modelos de IA por parte de los atacantes. Galaxy Research sugiere que parte de los atacantes utilizó LLM abiertos chinos sin restricciones estrictas en ciberseguridad. Esta es una señal alarmante: a medida que la IA se difunde, las capacidades para buscar y explotar errores se vuelven más accesibles no solo para los defensores, sino también para los atacantes.
Mi veredicto: este incidente no es solo una estadística de pérdidas, sino un punto de inflexión para toda la industria. Demuestra que incluso las soluciones que parecen más fiables a primera vista pueden contener vulnerabilidades fatales ocultas. Los inversores y custodios de fondos deberían revisar sus estrategias, priorizando esquemas multisig y la diversificación de riesgos. En una era en la que la IA fortalece a ambos lados de la barricada, la única estrategia razonable es asumir que su nivel actual de protección podría ser insuficiente.