El mayor robo de carteras de hardware: los hackers extrajeron más de 1700 BTC de Coldcard vulnerables
El ataque masivo a los monederos hardware Coldcard se ha convertido en el mayor incidente en el ámbito del almacenamiento autogestionado de criptoactivos. Según mis datos, los atacantes lograron robar al menos 1778,84 BTC, lo que equivale a $112,7 millones. Además, al parecer, la ola de hackeos ha cesado: después del 6 de agosto no se han registrado nuevos casos confirmados de explotación de la vulnerabilidad.
La raíz del problema está en el firmware de 2021
Durante la investigación se logró establecer contacto con 190 afectados y confirmar el robo de fondos desde más de 8600 direcciones. Sin embargo, el daño real podría ser significativamente mayor: si se tienen en cuenta los episodios no confirmados, el volumen de lo sustraído alcanza los 2417,35 BTC (~$153 millones).
El ataque comenzó el 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables. La causa radica en un error cometido por Coinkite en 2021 al actualizar el firmware. El cambio en el mecanismo de generación de entropía criptográfica provocó un funcionamiento incorrecto del generador de números aleatorios: los dispositivos cambiaban imperceptiblemente a una fuente de entropía críticamente insuficiente para proteger las claves privadas. El problema existió durante años, pero solo ahora, con el aumento de la potencia computacional, se ha vuelto explotable.
Los ataques han cesado, pero los bitcoins no han sido devueltos
El cese de los ataques probablemente se deba a que los propietarios lograron retirar sus fondos o a que los activos disponibles ya se han agotado. Sin embargo, esto no significa que la amenaza haya pasado: a los usuarios de Coldcard de firma única les recomiendo encarecidamente que trasladen inmediatamente sus fondos a nuevas direcciones. No se trata de un solo hacker: se han detectado al menos 33 rastros adicionales de actividad, lo que indica acciones coordinadas de varios grupos.
De los fondos confirmados como robados, alrededor de 1531 BTC permanecen en las direcciones de los atacantes. Aproximadamente 246 BTC ya han sido movidos, de los cuales el 65% pasó por transacciones CoinJoin, que dificultan el rastreo, y el 35% siguió el esquema Peel Chain, utilizado activamente para el lavado. Parte de las monedas se ha observado en exchanges centralizados y puentes entre cadenas; las listas de direcciones se han entregado a los departamentos de cumplimiento y a las autoridades policiales.
Un golpe al relato del almacenamiento autogestionado
La especial tragedia del incidente radica en que las víctimas fueron precisamente aquellos que abordaban la seguridad con máxima responsabilidad: no utilizaban plataformas dudosas ni protocolos DeFi, confiando en un "hardware" considerado el estándar de fiabilidad. Esto ha asestado un duro golpe a la idea del self-custody. Tras el inicio de los ataques, se observó un aumento de transferencias a exchanges: en los primeros cuatro días llegaron más de 22 000 BTC, y para el 8 de agosto el saldo agregado en las plataformas alcanzó un máximo histórico de 3,683 millones de BTC.
La multifirma como salvación y una señal alarmante de la IA
Es revelador que ningún robo confirmado se haya realizado desde direcciones multifirma. Esto ha provocado un fuerte aumento del interés en las soluciones multisig: los servicios Casa y Anchorwatch han informado de una afluencia significativa de clientes. Sin embargo, como señala acertadamente el cofundador de Unchained, Dhruv Bansal, la contraposición entre soluciones de custodia y no custodia es secundaria. El problema de raíz es el punto único de fallo, ya sea un exchange, un fabricante de dispositivos o el propio usuario. Distribuir el riesgo entre varias claves es el único camino razonable.
Por separado, resulta preocupante el posible uso de IA por parte de los atacantes: parte de los hackers probablemente utilizó LLM chinos de código abierto sin restricciones en ciberseguridad. Esto subraya una tendencia alarmante: las herramientas de búsqueda de vulnerabilidades están disponibles no solo para los defensores, sino también para los atacantes. En medio de pérdidas récord de $1,1 mil millones por hackeos en la primera mitad de 2026, este incidente es un duro recordatorio de que incluso las soluciones más "seguras" requieren una revisión.
Mi veredicto: el incidente de Coldcard no es solo un fallo técnico, sino un desafío sistémico para toda la industria. La confianza en los monederos hardware se ha visto socavada, y solo se puede restaurar mediante la transparencia del código y la adopción masiva de la multifirma. Los inversores deberían reconsiderar sus estrategias de almacenamiento, sin depender de un único dispositivo "a prueba de balas".