Ataque a Coldcard: robados 1778 BTC, y esto es un golpe a la idea de la autocustodia
Una campaña masiva contra los propietarios de monederos hardware Coldcard ha resultado en pérdidas de al menos 1778,84 BTC, unos $112,7 millones al tipo de cambio actual. Mis colegas de Galaxy Research confirmaron el robo de fondos de más de 8600 direcciones, contactando con 190 afectados. El daño real podría ser mucho mayor: si se tienen en cuenta los episodios no confirmados, se habla de 2417,35 BTC, aproximadamente $153 millones.
La raíz del problema: una vulnerabilidad de hace cinco años
El ataque comenzó el 30 de julio de 2026. Los delincuentes restauraron sistemáticamente las frases semilla generadas por dispositivos Coldcard y transfirieron los fondos a sus propias direcciones. La causa es un error en el firmware que Coinkite lanzó en 2021. La actualización cambió el mecanismo de generación de entropía criptográfica, pero debido a un fallo, el generador de números aleatorios funcionaba incorrectamente. Los dispositivos cambiaban silenciosamente a una fuente alternativa de entropía que resultó ser críticamente débil para proteger las claves privadas.
El problema existió durante años, pero solo se manifestó ahora: con suficiente potencia computacional, los hackers pudieron reproducir las claves creadas en dispositivos vulnerables. La última cadena de ataques confirmada data del 6 de agosto. Desde entonces, nuevas víctimas contactan con los investigadores, pero no hay más hackeos confirmados. Probablemente, los propietarios lograron retirar sus fondos, o la mayor parte de las monedas disponibles ya ha sido robada.
Los fondos se mueven a través de CoinJoin y Peel Chain
De los 1778 BTC confirmados, unos 1531 BTC permanecen aún en las direcciones de los atacantes. Los ~246 BTC restantes ya se han movido: el 65% pasó por transacciones CoinJoin, que dificultan el rastreo, y el 35% siguió el esquema Peel Chain, donde pequeñas transacciones se separan repetidamente de una gran cantidad. Parte de las monedas se ha detectado en exchanges centralizados y puentes entre cadenas. Galaxy ya ha entregado listas de direcciones a exchanges, empresas de cumplimiento y autoridades.
Un golpe a la narrativa de la autocustodia
Este incidente es único no solo por su escala. Las víctimas son precisamente aquellos usuarios que abordaban el almacenamiento con máxima responsabilidad: no usaban exchanges dudosos ni protocolos DeFi arriesgados, sino que confiaban en monederos hardware, el estándar de oro de la seguridad. Ahora esa narrativa se ha visto socavada. Tras el inicio de los ataques, se observó un fuerte aumento de transferencias a exchanges: en cuatro días llegaron más de 22 000 BTC, y para el 8 de agosto el saldo en las plataformas alcanzó un máximo histórico de 3,683 millones de BTC.
Es revelador que ningún robo confirmado haya afectado a direcciones multisig. Los servicios Casa y Anchorwatch registran un aumento de clientes que trasladan fondos a bóvedas multisig. Como señala acertadamente el cofundador de Unchained, Dhruv Bansal, esto no es una victoria de las soluciones de custodia, sino una señal de la necesidad de eliminar el punto único de fallo, ya sea un exchange, un fabricante o el propio usuario.
La IA como herramienta de los atacantes
El papel de la IA es especialmente preocupante. Galaxy cree que parte de los atacantes utilizó LLM chinos de código abierto sin restricciones en materia de ciberseguridad. Mientras tanto, los investigadores de Bitcoin Red Team, que examinan la base de código del ecosistema, se enfrentan al problema contrario: las restricciones de las empresas de IA estadounidenses les impiden usar los modelos más potentes para la defensa. Este es un desequilibrio peligroso que solo empeorará.
Recordemos que la primera mitad de 2026 ya fue récord en hackeos criptográficos: los proyectos perdieron unos $1,1 mil millones. El incidente de Coldcard no es un caso aislado, sino parte de un problema sistémico. El mercado necesita replantearse sus enfoques de seguridad, o la confianza en la autocustodia se verá socavada definitivamente.
Mi conclusión: este caso es un claro ejemplo de cómo la seguridad "de hierro" puede resultar una ilusión si hay un defecto oculto en la cadena de generación de claves. Para la industria, es un motivo para acelerar la adopción de esquemas multisig y la auditoría de firmwares; para los usuarios, una lección: la diversificación del riesgo importa más que la fe ciega en una sola marca. Por ahora, recomiendo a todos los propietarios de Coldcard que verifiquen de inmediato el origen de sus frases semilla y, ante la más mínima duda, transfieran los fondos a nuevas direcciones.