La mayor estafa de carteras de hardware: los hackers robaron más de 1700 BTC a través de una vulnerabilidad en Coldcard
Un ataque masivo a los monederos hardware Coldcard resultó en la pérdida de al menos 1778,84 BTC, lo que equivale a 112,7 millones de dólares. Mis colegas de la división analítica Galaxy Research confirmaron: después del 6 de agosto no se registraron nuevos casos de hackeo, lo que indica el fin de la fase activa de explotación de la vulnerabilidad.
Ataque a Coldcard: cronología y alcance
Durante la investigación, los investigadores contactaron con 190 afectados y verificaron el robo de bitcoins desde más de 8600 direcciones. Sin embargo, el daño real probablemente sea mucho mayor: teniendo en cuenta los episodios no confirmados, el volumen robado podría alcanzar los 2417,35 BTC, o aproximadamente 153 millones de dólares.
El ataque comenzó la mañana del 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos Coldcard vulnerables, tras lo cual transfirieron los fondos a monederos controlados. La raíz del problema reside en un error de firmware cometido por la empresa Coinkite en 2021 al actualizar el mecanismo de generación de entropía criptográfica. Debido al fallo, el generador de números aleatorios funcionaba incorrectamente, y los dispositivos cambiaban imperceptiblemente a una fuente de entropía críticamente insuficiente para proteger las claves privadas.
La vulnerabilidad existió durante años, pero solo se manifestó ahora: al disponer de suficiente potencia computacional, los hackers pudieron reproducir las claves privadas creadas en los dispositivos problemáticos.
Cese de los ataques y múltiples rastros
La última cadena de ataques confirmada data del 6 de agosto. Después de esa fecha, nuevas víctimas continúan contactando a los investigadores, pero ya no hay casos de hackeo verificados. Creo que los ataques cesaron por dos razones: o los propietarios lograron transferir los fondos a nuevas direcciones, o los activos disponibles ya se habían agotado. Además, no se trata de un solo atacante: Galaxy ha detectado al menos 33 rastros adicionales de actividad, lo que con alta probabilidad indica el uso simultáneo de la vulnerabilidad por varios grupos.
Destino de los fondos robados
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen aún en las direcciones de los atacantes. Aproximadamente 246 BTC ya se han movido tras el robo. Es notable que el 65% de estos fondos pasaron por transacciones CoinJoin, que dificultan el rastreo, y el 35% a través del esquema Peel Chain, donde de una gran suma se "desprenden" repetidamente pequeñas microtransacciones. Una pequeña parte de los bitcoins fue vista en exchanges centralizados y puentes cross-chain; Galaxy ya ha entregado las listas de direcciones a exchanges, empresas de cumplimiento y autoridades.
Golpe a la idea de la autocustodia
Este incidente es único no solo por su escala, sino también por el perfil de las víctimas. Los afectados son usuarios que abordaban la autocustodia con la máxima responsabilidad: no usaban exchanges dudosos, protocolos DeFi arriesgados ni esquemas de alto rendimiento. Confiaron en los monederos hardware, considerados el estándar de oro de la seguridad. Como resultado, la narrativa sobre la autocustodia recibió un duro golpe: tras el inicio de los ataques, el número de pequeñas transferencias a exchanges aumentó drásticamente, y en los primeros cuatro días llegaron más de 22 000 BTC a plataformas centralizadas. Para el 8 de agosto, el saldo agregado de los exchanges alcanzó un máximo histórico de 3,683 millones de BTC.
La multifirma como solución
Una de las consecuencias inesperadas es el aumento del interés en los monederos multisig. Ningún robo confirmado se realizó desde direcciones protegidas por multifirma. Los servicios Casa y Anchorwatch informaron de un fuerte crecimiento de clientes, y el cofundador de Unchained, Dhruv Bansal, señala acertadamente: el problema no está en las soluciones de custodia frente a las no custodiales, sino en el punto único de fallo, ya sea un exchange, el fabricante del dispositivo o el propio usuario. El incidente obliga a replantear el enfoque del almacenamiento, distribuyendo los riesgos entre varias claves y componentes independientes de la infraestructura.
IA del lado de los atacantes
Un detalle especialmente preocupante es el posible uso de inteligencia artificial. Galaxy cree que parte de los atacantes utilizó modelos de IA sin restricciones estrictas en ciberseguridad, en particular LLM chinos de código abierto. La ironía es que los investigadores de Bitcoin Red Team, al revisar la base de código del ecosistema, se enfrentaron al problema inverso: las restricciones de las empresas de IA estadounidenses les impedían usar los modelos más potentes para la defensa. Esto subraya que, con la expansión de la IA, las capacidades de búsqueda y explotación de errores se vuelven más accesibles no solo para los defensores, sino también para los atacantes.
Recordemos que en la primera mitad de 2026, los proyectos cripto perdieron alrededor de 1.100 millones de dólares debido a hackeos, y el número de exploits confirmados fue récord para un semestre. Este incidente es un duro recordatorio: incluso las herramientas más fiables pueden contener defectos ocultos, y la diversificación de riesgos no es un lujo, sino una necesidad.
Mi conclusión: la historia de Coldcard no es solo un fallo técnico, sino un desafío sistémico para toda la industria. La confianza en los monederos hardware se ha visto socavada, y solo se puede restaurar mediante la transparencia de las auditorías y la transición obligatoria a esquemas multifirma para cantidades significativas.