La mayor estafa de carteras de hardware: los hackers extrajeron más de 1700 BTC de Coldcard
Un ataque masivo contra los monederos hardware Coldcard se ha convertido en el mayor daño confirmado en este segmento: los atacantes retiraron al menos 1778,84 BTC, equivalentes a $112,7 millones. Mis colegas de Galaxy Research contactaron con 190 afectados y verificaron el robo de fondos desde más de 8600 direcciones. Las pérdidas reales podrían ser mayores: teniendo en cuenta episodios no confirmados, se habla de 2417,35 BTC (~$153 millones).
La raíz del problema está en un fallo del firmware de 2021
El ataque comenzó el 30 de julio de 2026. Los hackers restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables y transfirieron los fondos a sus propias direcciones. La causa es un error en la actualización del firmware de Coinkite, lanzado en 2021. El cambio en el mecanismo de generación de entropía provocó un funcionamiento incorrecto del generador de números aleatorios. Los dispositivos cambiaban imperceptiblemente a una fuente de entropía débil, lo que hizo que las claves privadas fueran vulnerables a la reproducción con suficiente potencia computacional.
Es revelador que el problema existiera durante años, pero la explotación solo se ha hecho posible ahora. Es un caso clásico de vulnerabilidad "silenciosa" que solo se manifestó durante un barrido masivo de claves.
Los ataques han cesado, pero los fondos se ocultan
La última cadena de hackeo confirmada data del 6 de agosto. No se han registrado nuevos casos de robo, pero esto se debe más al agotamiento de los fondos disponibles que a una defensa exitosa. De los 1778 BTC robados, alrededor de 1531 BTC siguen bajo control de los hackers. Aproximadamente el 65% de estas monedas han pasado por transacciones CoinJoin, que dificultan el rastreo, mientras que el 35% se movió mediante el esquema Peel Chain, un método clásico de lavado en el que se separan repetidamente pequeñas cantidades de una suma grande.
Es importante señalar que los ataques no fueron realizados por un solo grupo: Galaxy identificó al menos 33 rastros de actividad distintos, lo que indica una explotación simultánea de la vulnerabilidad por varios atacantes.
Un golpe al relato de la autocustodia
Este incidente golpea los cimientos mismos de la idea de self-custody. Los afectados no son novatos que arriesgaron en plataformas DeFi, sino tenedores conservadores que confiaron en el "hardware". Tras el inicio de los ataques se observó una salida masiva: en los primeros cuatro días llegaron a los exchanges más de 22 000 BTC, y para el 8 de agosto el saldo en plataformas centralizadas alcanzó un máximo histórico de 3,683 millones de BTC.
Es revelador que ningún robo confirmado haya afectado a direcciones multisig. Los servicios Casa y Anchorwatch registran un aumento en la demanda de soluciones multisig. Sin embargo, como señala acertadamente Dhruv Bansal de Unchained, el problema no está en la custodia en sí, sino en el punto único de fallo, ya sea un exchange, un fabricante o el propio usuario.
IA del lado de los atacantes
Un detalle especialmente preocupante es el probable uso de modelos de IA sin restricciones de ciberseguridad, incluidos LLM abiertos chinos. Esto confirma una tendencia: las herramientas para encontrar vulnerabilidades están disponibles no solo para los defensores, sino también para los atacantes.
En un contexto de pérdidas récord de $1,1 mil millones por hackeos en la primera mitad de 2026, este caso es una señal aleccionadora para toda la industria. El almacenamiento en un solo dispositivo ya no es una garantía de seguridad, y la distribución del riesgo entre varias claves deja de ser una recomendación para convertirse en una necesidad.