El mayor robo de carteras de hardware: los hackers sustrajeron más de 1700 BTC de Coldcard
Un ataque masivo contra los monederos de hardware Coldcard se ha convertido en el mayor daño confirmado del año: los atacantes robaron al menos 1778,84 BTC, equivalentes a aproximadamente $112,7 millones. Según mi análisis, basado en datos recientes de Galaxy Research, la última transacción verificada del hackeo data del 6 de agosto, y desde entonces no se han registrado nuevos ataques exitosos.
Error sistémico en la generación de entropía
La causa clave del incidente es un error en el firmware de Coinkite, cometido ya en 2021. Tras la actualización, el mecanismo de generación de entropía criptográfica comenzó a funcionar incorrectamente: los dispositivos cambiaban imperceptiblemente a una fuente alternativa de aleatoriedad, que resultó ser fatalmente débil para proteger las claves privadas. Esto permitió a los hackers, con suficiente potencia computacional, reproducir las frases semilla y vaciar sistemáticamente los monederos a partir del 30 de julio.
Los investigadores contactaron con 190 afectados y confirmaron el robo desde más de 8600 direcciones. Sin embargo, la cifra final podría ser mayor: si se tienen en cuenta los episodios no confirmados, el volumen robado se estima en 2417,35 BTC (~$153 millones). Es notable que el ataque no fue un evento aislado: Galaxy identificó al menos 33 rastros de actividad separados, lo que indica un uso coordinado de la vulnerabilidad por varios grupos.
Blanqueo y reacción del mercado
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen aún en las direcciones de los atacantes. Aproximadamente el 65% de estos fondos pasaron por mezcladores CoinJoin, lo que dificulta seriamente el rastreo, y otro 35% se movió mediante el esquema Peel Chain, una metodología clásica de blanqueo con microtransacciones. Una pequeña parte de las monedas ya ha aparecido en intercambios centralizados y puentes entre cadenas, y las listas de direcciones se han entregado a las autoridades y empresas de cumplimiento.
Este incidente ha asestado un golpe significativo a la narrativa de la autocustodia. Los afectados no son usuarios inexpertos, sino aquellos que evitaban conscientemente los intercambios y los riesgos de DeFi, confiando en el "hardware". La reacción del mercado no se hizo esperar: en los primeros cuatro días tras el inicio de los ataques, llegaron más de 22 000 BTC a los intercambios, y el saldo agregado en las plataformas alcanzó un máximo histórico de 3,683 millones de BTC para el 8 de agosto.
La multifirma como salvación y la amenaza de la IA
Es revelador que ningún robo confirmado se haya realizado desde direcciones multisig. Esto ha provocado un fuerte aumento del interés en estas soluciones: los servicios Casa y Anchorwatch han informado de un aumento de nuevos clientes. Sin embargo, como señala acertadamente el cofundador de Unchained, Dhruv Bansal, la victoria de los servicios de custodia aquí es ilusoria: el problema radica en un punto único de fallo, ya sea el intercambio, el fabricante o el propio usuario.
Merece especial atención el probable uso de IA por parte de los atacantes. Galaxy sugiere que algunos de los atacantes utilizaron LLM chinos de código abierto sin restricciones de ciberseguridad. Esto es una señal alarmante: las capacidades de búsqueda de vulnerabilidades se vuelven accesibles no solo para los defensores, sino también para los hackers, lo que pone en duda la eficacia de las medidas de seguridad tradicionales.
Mi conclusión: este incidente no es solo un fallo técnico, sino un desafío sistémico para toda la industria. Muestra que incluso las soluciones aparentemente más fiables pueden contener defectos ocultos, y que la confianza en un solo dispositivo se convierte en un anacronismo. Recomiendo a los usuarios reconsiderar su enfoque de almacenamiento en favor de la multifirma y la diversificación de riesgos, antes de que el mercado comprenda toda la profundidad del problema.