El mayor robo de carteras de hardware: el ataque a Coldcard costó a los titulares de BTC $112 millones
Una campaña masiva de hackeo a los monederos hardware Coldcard ha provocado pérdidas de al menos 1778,84 BTC, equivalentes a 112,7 millones de dólares. Según mi análisis de los datos obtenidos durante la investigación, se han confirmado robos desde más de 8600 direcciones, y el número total de afectados ha alcanzado las 190 personas. Sin embargo, el daño real podría ser significativamente mayor: teniendo en cuenta los episodios no confirmados, se habla de 2417,35 BTC (~153 millones de dólares).
La raíz del problema: un error en la generación de entropía
El ataque comenzó el 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables. La causa reside en una actualización del firmware de Coinkite de 2021: el nuevo generador de números aleatorios funcionaba incorrectamente, y los dispositivos cambiaban silenciosamente a una fuente de entropía con una protección críticamente baja. Esto permitía a los atacantes, con suficiente potencia computacional, reproducir las claves privadas.
Es importante señalar que los nuevos ataques confirmados cesaron después del 6 de agosto. Esto podría explicarse tanto por la migración de los usuarios a nuevas direcciones como por el agotamiento de los fondos disponibles. Sin embargo, según mis datos, en la campaña participaron al menos varios grupos: se han detectado al menos 33 rastros de actividad distintos, lo que indica una explotación coordinada de la vulnerabilidad por parte de diferentes actores.
El destino de los fondos robados y el golpe al relato de la autocustodia
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen bajo el control de los hackers. Una parte significativa, el 65%, pasó por mezcladores CoinJoin, lo que dificulta seriamente el rastreo. El otro 35% se movió mediante esquemas de Peel Chain, y una pequeña parte se registró en exchanges centralizados y puentes entre cadenas. He enviado las listas de direcciones a los servicios de cumplimiento y a las autoridades para su bloqueo.
Lo especialmente trágico del incidente es que afectó precisamente a quienes gestionaban su almacenamiento de forma más responsable: sin exchanges dudosos, riesgos DeFi ni herramientas de moda. Esto ha asestado un duro golpe a la propia idea de la custodia autónoma. No es de extrañar que en los primeros cuatro días tras el inicio de los ataques llegaran a los exchanges más de 22 000 BTC, y que para el 8 de agosto el saldo en las plataformas alcanzara un máximo histórico de 3,683 millones de BTC: el pánico es evidente.
La multifirma como salvación y el papel de la IA
Es notable que ningún robo confirmado haya afectado a direcciones multisig. Esto ha provocado un fuerte aumento del interés por las soluciones de multifirma: los servicios Casa y Anchorwatch informan de una afluencia de clientes. Estoy de acuerdo con la opinión de que la contraposición entre servicios de custodia y no custodia aquí es secundaria: la principal lección es eliminar el punto único de fallo, ya sea un exchange, un fabricante o el propio usuario.
Por separado, cabe destacar el papel de la IA en este ataque. Según mis estimaciones, parte de los atacantes utilizó LLM abiertos chinos sin restricciones en materia de ciberseguridad, lo que permitió automatizar la búsqueda de vulnerabilidades. Esta es una señal alarmante: mientras los modelos estadounidenses están limitados por los reguladores, los atacantes obtienen ventaja en la carrera armamentística. Teniendo en cuenta que en la primera mitad de 2026 los proyectos cripto perdieron 1.100 millones de dólares debido a hackeos, y que el número de exploits fue récord, este incidente es solo la punta del iceberg.
Mi conclusión: el incidente de Coldcard no es simplemente un fallo técnico, sino un desafío sistémico para toda la industria. La confianza en los monederos hardware como «caja fuerte infranqueable» se ha visto socavada, y ahora los usuarios tendrán que replantear sus estrategias de almacenamiento, distribuyendo los riesgos entre la multifirma y las verificaciones independientes del código. El mercado necesita estándares de auditoría de firmware; de lo contrario, el próximo ataque podría ser aún mayor.