La mayor filtración de hardware wallets: 1778 BTC se fugaron a través de una vulnerabilidad de Coldcard
El incidente a gran escala que sacudió a la comunidad de maximalistas de bitcoin ha recibido confirmación oficial. Como resultado de la explotación de una vulnerabilidad crítica en los monederos hardware Coldcard, los atacantes extrajeron al menos 1778,84 BTC, lo que equivale a 112,7 millones de dólares al tipo de cambio actual. El monitoreo muestra que nuevos ataques confirmados cesaron después del 6 de agosto, pero el panorama completo de los daños podría ser significativamente peor.
Ataque a Coldcard
He logrado establecer contacto con 190 titulares afectados, y la suma total de pérdidas confirmadas se distribuye en más de 8600 direcciones. Si se incluyen en el cálculo los episodios no confirmados, el volumen robado aumenta a 2417,35 BTC, aproximadamente 153 millones de dólares. Esto convierte al incidente en uno de los más grandes de la historia, si no el más masivo, entre los ataques a monederos hardware.
El ataque comenzó la mañana del 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por los dispositivos Coldcard vulnerables, tras lo cual transfirieron los fondos a direcciones controladas. La raíz del problema es un error en el firmware, cometido por la empresa Coinkite en 2021 al actualizar el mecanismo de generación de entropía criptográfica. El nuevo generador de números aleatorios funcionaba incorrectamente, y los dispositivos pasaban imperceptiblemente a una fuente de entropía de respaldo, que resultó ser críticamente débil para proteger las claves privadas.
En esencia, la bomba de relojería existió durante años, pero detonó solo ahora: con suficiente potencia computacional, los atacantes pudieron reproducir las claves privadas creadas en los dispositivos vulnerables.
Cese de ataques y nuevos rastros
El análisis de las cadenas de transacciones confirmadas muestra que el último ataque exitoso data del 6 de agosto. Nuevas víctimas continúan contactando, pero no se han detectado casos confirmados de hackeos adicionales. Esto se explica o bien porque los propietarios de monederos vulnerables lograron transferir sus fondos a nuevas direcciones, o bien porque la mayor parte de los activos disponibles ya fue retirada.
Es importante subrayar: esto no es obra de un solo hacker. He identificado al menos 33 rastros de actividad separados, lo que con alta probabilidad indica la explotación simultánea de la vulnerabilidad por varios grupos de atacantes.
Destino de los fondos robados
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen hasta ahora en direcciones controladas por los hackers. Otros 246 BTC ya han sido movidos después del robo. Es notable que el 65% de estos fondos pasó por transacciones CoinJoin, lo que dificulta seriamente el rastreo. El 35% restante se mueve por la blockchain, incluido el esquema Peel Chain, donde de una suma grande se "desprenden" repetidamente transacciones pequeñas, y la parte principal se transfiere a nuevas direcciones.
Una pequeña parte de los bitcoins robados fue vista en exchanges centralizados y puentes cross-chain. He entregado las listas de direcciones a exchanges, empresas de cumplimiento y autoridades policiales para acciones posteriores.
Golpe a la idea de autocustodia
La particularidad de este incidente no radica solo en la magnitud de las pérdidas. Las víctimas fueron usuarios que abordaban la autocustodia de manera extremadamente responsable: no usaban exchanges dudosos, protocolos DeFi arriesgados ni esquemas de altos rendimientos. Confiaron en monederos hardware, considerados el estándar de oro de la seguridad.
Esto ha asestado un duro golpe a la narrativa de la autocustodia. Tras el inicio de los ataques, el número de transferencias pequeñas de bitcoin a exchanges aumentó drásticamente: en los primeros cuatro días, más de 22 000 BTC llegaron a plataformas centralizadas. Para el 8 de agosto, el saldo agregado en los exchanges alcanzó un máximo histórico de 3,683 millones de BTC.
La multifirma como solución
Una consecuencia inesperada fue el crecimiento del interés en los monederos multisig. Ningún robo confirmado se realizó desde direcciones protegidas con multifirma. Los servicios Casa y Anchorwatch informaron de un aumento brusco de nuevos clientes y volúmenes de bitcoins transferidos.
El cofundador de Unchained, Dhruv Bansal, señala con razón: percibir lo ocurrido como una victoria de los servicios de custodia sobre los no custodiales es un error. El problema radica en el punto único de fallo, ya sea un exchange, un fabricante de dispositivos o el propio usuario. El incidente obliga a replantear el enfoque del almacenamiento: distribuir el riesgo entre varias claves y componentes independientes de la infraestructura se convierte no en una recomendación, sino en una necesidad.
El papel de la IA en el ataque
Un aspecto particularmente alarmante es el uso de inteligencia artificial. Considero que parte de los atacantes probablemente utilizó modelos de IA sin restricciones estrictas en ciberseguridad, en particular LLM abiertos chinos. Esto confirma una tendencia preocupante: las herramientas para encontrar y explotar errores se vuelven más accesibles no solo para los defensores, sino también para los atacantes.
En la primera mitad de 2026, los proyectos cripto ya perdieron alrededor de 1.100 millones de dólares por hackeos, y este incidente se convirtió en otro récord en la serie de exploits. La situación exige de la industria no solo correcciones puntuales, sino una revisión fundamental de los estándares de seguridad.
Mi conclusión: este caso no es una anomalía, sino una advertencia. Si los fabricantes de monederos hardware no implementan protección en múltiples capas y auditorías de código independientes, la confianza en la propia institución de la autocustodia podría verse socavada de manera irreversible. La multifirma no es una panacea, pero hoy es la única forma probada de evitar un punto único de fallo.