Ataque a Coldcard: robados más de 1700 BTC, y la idea de la autocustodia se tambalea
El incidente masivo con los monederos de hardware Coldcard resultó ser mucho más grave de lo que se pensaba inicialmente. Durante un ataque dirigido, los atacantes extrajeron al menos 1778,84 BTC, lo que equivale aproximadamente a $112,7 millones. Mis colegas de Galaxy Research confirmaron el robo de fondos de más de 8600 direcciones, contactando con 190 afectados. Sin embargo, el daño real podría ser aún mayor: si se tienen en cuenta los episodios no confirmados, el volumen robado alcanza los 2417,35 BTC, alrededor de $153 millones.
La raíz del problema: un fallo en la generación de entropía
El ataque comenzó no más tarde de la mañana del 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos Coldcard vulnerables. La causa es un error crítico en el firmware, introducido por Coinkite en 2021 al actualizar el mecanismo de entropía criptográfica. Debido al fallo, el generador de números aleatorios funcionaba incorrectamente, y los dispositivos cambiaban silenciosamente a una fuente de entropía con protección insuficiente de las claves privadas. El problema existió durante años, pero solo se manifestó ahora, cuando los atacantes tuvieron suficiente potencia computacional para reproducir las claves.
Los ataques cesaron, pero la amenaza no ha desaparecido
La última cadena confirmada de hackeos data del 6 de agosto. Después de esa fecha, nuevas víctimas continúan contactando a los investigadores, pero no hay casos confirmados de robos adicionales. Creo que esto se debe o bien a que los usuarios lograron transferir sus fondos a nuevas direcciones, o bien a que la mayor parte de las monedas disponibles ya ha sido robada. No obstante, recomiendo a todos aquellos que aún guardan bitcoins en Coldcard de firma única que muevan sus activos de inmediato.
Es importante señalar que esto no es obra de un solo hacker. Galaxy ha detectado al menos 33 rastros de actividad separados, lo que indica que varios grupos de atacantes explotaron la vulnerabilidad simultáneamente.
El destino de los fondos robados
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen en las direcciones de los atacantes, mientras que 246 BTC ya han sido movidos. Aproximadamente el 65% de estos fondos pasó por transacciones CoinJoin, lo que dificulta seriamente su rastreo. Otro 35% se mueve por la blockchain, incluido el esquema Peel Chain, donde se separan repetidamente pequeñas transacciones de grandes sumas. Parte de las monedas ha sido vista en exchanges centralizados y puentes cross-chain. Galaxy ya ha entregado listas de direcciones a exchanges, empresas de cumplimiento y autoridades.
Un golpe a la idea de la autocustodia
Este incidente es único no por su escala, sino por el perfil de las víctimas. Los afectados no son novatos que arriesgaron en plataformas dudosas. Son usuarios disciplinados que confiaban en los monederos de hardware como el estándar de oro de la seguridad. No usaban protocolos DeFi ni perseguían rendimientos. Y he aquí el resultado: sus fondos han sido robados.
Las consecuencias ya se sienten: en los primeros cuatro días tras el inicio de los ataques, más de 22 000 BTC llegaron a los exchanges, y para el 8 de agosto el saldo agregado en plataformas centralizadas alcanzó un máximo histórico de 3,683 millones de BTC. Esto es una clara señal de pánico y pérdida de confianza en la autocustodia.
La multifirma como solución
Es revelador que ningún robo confirmado se haya realizado desde direcciones protegidas con multifirma. Los servicios Casa y Anchorwatch ya han informado de un fuerte aumento de clientes. El cofundador de Unchained, Dhruv Bansal, señala acertadamente: el problema no está en las soluciones de custodia frente a las no custodiales, sino en el punto único de fallo, ya sea un exchange, un fabricante o el propio usuario. El incidente obliga a replantear el enfoque: distribuir el riesgo entre varias claves y componentes independientes es la nueva realidad.
La IA del lado de los atacantes
Por separado, preocupa el papel de la inteligencia artificial. Galaxy cree que parte de los atacantes utilizó modelos de IA sin restricciones de ciberseguridad, incluidos LLM abiertos chinos. La ironía es que los investigadores de Bitcoin Red Team, al probar la ecosistema en busca de vulnerabilidades, se enfrentaron al problema inverso: las restricciones de las empresas de IA estadounidenses les impiden usar los modelos más potentes para la defensa. Esta es una señal importante: las capacidades para encontrar y explotar errores son más accesibles para los atacantes que para los defensores.
Mi conclusión: este incidente no es solo un fallo técnico, sino un desafío sistémico para la industria. En la primera mitad de 2026, los proyectos cripto perdieron alrededor de $1,1 mil millones debido a hackeos, y este caso es el recordatorio más contundente de que incluso las herramientas más fiables pueden contener defectos ocultos. La autocustodia no ha muerto, pero requiere un nuevo nivel de conciencia y, quizás, la multifirma se convierta en el estándar de facto para los tenedores serios.