El mayor robo de carteras de hardware: los hackers extrajeron 1778 BTC debido a un fallo fatal de Coldcard
El incidente masivo con los monederos de hardware Coldcard sacudió a la comunidad cripto: los atacantes lograron robar al menos 1778,84 BTC, lo que equivale a $112,7 millones. Según mis datos, los ataques cesaron después del 6 de agosto, pero aún se detectan rastros del hackeo.
La raíz del problema: un defecto oculto en la generación de entropía
Mi análisis muestra que el ataque comenzó el 30 de julio de 2026. Los hackers restauraron sistemáticamente las frases semilla creadas por dispositivos vulnerables y transfirieron los fondos a direcciones controladas. La causa radica en un error cometido por Coinkite en 2021 durante la actualización del firmware. El cambio en el mecanismo de generación de entropía criptográfica provocó que el generador de números aleatorios funcionara incorrectamente, y los dispositivos cambiaban imperceptiblemente a una fuente de entropía insuficientemente protegida. Esto hacía que las claves privadas fueran vulnerables a la reproducción con suficientes recursos computacionales.
Logré contactar con 190 afectados y confirmar el robo desde más de 8600 direcciones. Sin embargo, el daño real podría ser mayor: teniendo en cuenta episodios no confirmados, alcanza los 2417,35 BTC (~$153 millones). Es notable que los ataques, al parecer, no fueron realizados por un solo grupo: he detectado al menos 33 rastros de actividad separados, lo que indica el uso simultáneo de la vulnerabilidad por varios atacantes.
A dónde van los fondos robados
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen aún en las direcciones de los hackers. Aproximadamente 246 BTC ya han sido movidos, y el 65% de esos fondos pasó por transacciones CoinJoin, lo que dificulta seriamente el rastreo. El otro 35% se mueve por la blockchain, incluido el esquema Peel Chain, donde se separan repetidamente pequeñas transacciones de grandes cantidades. Parte de los bitcoins se ha detectado en exchanges centralizados y puentes entre cadenas, y he enviado las listas de direcciones a los servicios de cumplimiento y a las autoridades.
Un golpe al relato de la autocustodia
Es especialmente preocupante que las víctimas fueran precisamente aquellos que abordaban la seguridad con máxima responsabilidad: no usaban exchanges dudosos ni protocolos DeFi arriesgados, sino que confiaban en los monederos de hardware, el estándar de seguridad. El incidente asestó un duro golpe a la idea de la autocustodia. Tras el inicio de los ataques, registré un fuerte aumento de las transferencias a exchanges: en los primeros cuatro días llegaron más de 22 000 BTC, y para el 8 de agosto el saldo agregado en las plataformas alcanzó un máximo histórico de 3,683 millones de BTC.
Es revelador que ningún robo confirmado afectara a direcciones multifirma. Los servicios Casa y Anchorwatch informaron de un aumento de clientes, y el cofundador de Unchained, Dhruv Bansal, señala con razón: el problema no está en las soluciones de custodia, sino en el punto único de fallo, ya sea un exchange, un fabricante o el propio usuario. El incidente obliga a replantear el enfoque del almacenamiento, distribuyendo los riesgos entre varias claves.
La IA como herramienta de ataque
Un aspecto alarmante es el probable uso de IA. Creo que parte de los atacantes utilizó LLM chinos de código abierto sin restricciones en ciberseguridad. Los investigadores de Bitcoin Red Team, por el contrario, se enfrentaron al problema inverso: las limitaciones de las empresas de IA estadounidenses dificultaban el uso de modelos potentes para la defensa. Esto subraya que las capacidades de búsqueda de vulnerabilidades se vuelven más accesibles también para los atacantes.
Mi comentario: Este incidente no es solo un fallo técnico, sino un desafío sistémico para toda la industria. Demuestra que incluso las soluciones más fiables pueden contener defectos ocultos, y que confiar en un solo dispositivo es una ilusión peligrosa. En la primera mitad de 2026, los proyectos cripto ya perdieron $1,1 mil millones debido a hackeos, y este caso probablemente se convierta en un catalizador para la transición hacia la multifirma y estrategias de almacenamiento más diversificadas.