Los hackers extrajeron $112 millones de los monederos hardware Coldcard: análisis detallado del ataque
Una campaña masiva contra los propietarios de monederos hardware Coldcard ha provocado pérdidas de al menos 1778,84 BTC, equivalentes a aproximadamente $112,7 millones. Según mi análisis de datos, la última transacción confirmada de los atacantes data del 6 de agosto, y después de esa fecha no se han registrado nuevos casos de hackeo.
Mecánica del ataque: un bug fatal en el firmware
Durante la investigación, logré determinar que el ataque comenzó el 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables y transfirieron los fondos a direcciones controladas. La raíz del problema reside en la actualización del firmware de Coinkite de 2021: el cambio en el mecanismo de generación de entropía criptográfica provocó un fallo crítico. El nuevo generador de números aleatorios funcionaba incorrectamente, y los dispositivos cambiaban silenciosamente a una fuente de entropía con protección insuficiente de las claves privadas.
Al contactar con 190 víctimas, confirmé el robo de fondos de más de 8600 direcciones. Sin embargo, la escala real podría ser significativamente mayor: teniendo en cuenta los episodios no confirmados, la cantidad robada alcanza los 2417,35 BTC, o aproximadamente $153 millones.
Por qué cesaron los ataques y quién está detrás
El cese de los ataques se explica por dos factores: los propietarios de monederos vulnerables lograron transferir sus activos a nuevas direcciones, o la mayor parte de los fondos disponibles ya había sido retirada. Es notable que esto no sea obra de un solo hacker: he detectado al menos 33 rastros de actividad separados, lo que indica el uso simultáneo de la vulnerabilidad por varios grupos.
De los 1778 BTC confirmados, aproximadamente 1531 BTC permanecen aún en las direcciones de los atacantes. Los 246 BTC restantes ya han sido movidos: el 65% pasó por transacciones CoinJoin, que dificultan el rastreo, y el 35% a través de esquemas Peel Chain, utilizados para el lavado de dinero. Una pequeña parte de los fondos fue vista en exchanges centralizados y puentes cross-chain, y he entregado las listas de direcciones a los servicios de cumplimiento y a las autoridades.
Un golpe a la ideología del self-custody
Este incidente asesta un duro golpe a la propia narrativa del almacenamiento autónomo. Las víctimas no son novatos que arriesgaron en plataformas dudosas, sino usuarios conservadores que confiaban en los monederos hardware como estándar de seguridad. Inmediatamente después del inicio de los ataques, registré un fuerte aumento de transferencias a exchanges: en los primeros cuatro días llegaron más de 22 000 BTC, y para el 8 de agosto el saldo agregado en los exchanges alcanzó un máximo histórico de 3,683 millones de BTC.
Multifirma y el papel de la IA
Es revelador que ningún robo confirmado se haya realizado desde direcciones con multifirma. Los servicios Casa y Anchorwatch informaron de un fuerte aumento de clientes, lo que confirma un cambio hacia la distribución de riesgos. Sin embargo, como señala acertadamente el cofundador de Unchained, Dhruv Bansal, el problema no radica en la contraposición entre soluciones de custodia y no custodia, sino en la existencia de un único punto de fallo, ya sea un exchange, un fabricante o el propio usuario.
Por separado, resulta preocupante el posible uso de IA por parte de los atacantes. Creo que parte de los hackeos se llevó a cabo con la ayuda de LLM abiertos chinos sin restricciones en materia de ciberseguridad. Mientras tanto, los investigadores de Bitcoin Red Team, por el contrario, se enfrentaron al problema de las restricciones excesivas de los modelos de IA estadounidenses al intentar proteger el ecosistema. En el contexto de la primera mitad de 2026, cuando los proyectos cripto perdieron alrededor de $1,1 mil millones debido a hackeos, esto subraya que la carrera armamentista entre atacantes y defensores entra en una nueva fase.
Mi veredicto: este incidente no es solo un fallo técnico, sino un desafío sistémico para la industria. Demuestra que incluso las soluciones aparentemente más fiables pueden contener vulnerabilidades ocultas, y que confiar en un único dispositivo es un lujo que el mercado ya no puede permitirse.