El mayor robo de carteras de hardware: el ataque a Coldcard costó a los titulares de BTC $112 millones
Una campaña masiva contra los propietarios de carteras de hardware Coldcard resultó en pérdidas de al menos 1778,84 BTC, unos $112,7 millones al tipo de cambio actual. Según los últimos datos, la ola de hackeos se ha detenido: después del 6 de agosto no se han registrado nuevos incidentes confirmados, pero esto no resta gravedad a lo ocurrido.
Cronología del ataque: cómo hackearon las carteras «inexpugnables»
Mi análisis muestra que el ataque comenzó no más tarde de la mañana del 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por los dispositivos Coldcard vulnerables y transfirieron los fondos a sus direcciones. Durante la investigación, se logró contactar a 190 víctimas y confirmar el robo desde más de 8600 direcciones. El daño real podría ser mayor: considerando episodios no confirmados, se habla de 2417,35 BTC, o aproximadamente $153 millones.
La raíz del problema está en un error de firmware cometido por el fabricante Coinkite en 2021. Durante la actualización, se modificó el mecanismo de generación de entropía criptográfica, pero debido a un bug, el generador de números aleatorios funcionaba incorrectamente. Los dispositivos cambiaban silenciosamente a una fuente de entropía de respaldo que resultó catastróficamente débil para proteger las claves privadas. El defecto existió durante años, pero se manifestó solo ahora, cuando los atacantes obtuvieron suficiente potencia computacional para reproducir las claves.
Las pistas conducen a varios grupos
Es notable que detrás del ataque, aparentemente, no hay un solo hacker. He detectado al menos 33 rastros de actividad separados, lo que indica el uso simultáneo de la vulnerabilidad por varios atacantes. De los 1778 BTC confirmadamente robados, alrededor de 1531 BTC permanecen en direcciones controladas por los hackers, mientras que 246 BTC ya han sido movidos. Aproximadamente el 65% de los fondos pasó por transacciones CoinJoin, que dificultan el rastreo, y el 35% a través de esquemas Peel Chain, típicos del lavado de dinero. Parte de las monedas apareció en exchanges centralizados y puentes cross-chain, y las listas de direcciones ya han sido entregadas a las autoridades y empresas de cumplimiento.
Un golpe a la ideología del self-custody
Este incidente no solo afecta a las carteras, sino también al concepto mismo del almacenamiento autónomo. Las víctimas no son usuarios descuidados que arriesgaron en plataformas dudosas. Hicieron todo «bien»: guardaron bitcoins en carteras de hardware consideradas el estándar de oro de la seguridad. Tras el inicio de los ataques, observo un fuerte aumento de transferencias a exchanges: en los primeros cuatro días llegaron más de 22 000 BTC, y para el 8 de agosto el saldo agregado en las plataformas alcanzó un máximo histórico de 3,683 millones de BTC.
Es revelador que ningún robo confirmado haya afectado direcciones multisig. Esto provocó un aumento del interés en soluciones multisig: servicios como Casa y Anchorwatch registran una afluencia repentina de clientes. Sin embargo, como señala acertadamente el cofundador de Unchained, Dhruv Bansal, la contraposición entre servicios de custodia y no custodia aquí es secundaria. El problema principal es el punto único de fallo, ya sea un exchange, un fabricante de hardware o el propio usuario.
La IA como nuevo factor de amenaza
Por separado, señalaré una tendencia preocupante: parte de los atacantes probablemente utilizó modelos de IA sin restricciones en ciberseguridad, incluidos LLM abiertos chinos. Esto subraya que las herramientas para encontrar vulnerabilidades están disponibles no solo para investigadores, sino también para atacantes. En medio de pérdidas récord de $1,1 mil millones en la primera mitad de 2026, como se informó anteriormente, este caso es un recordatorio contundente: incluso las soluciones más confiables requieren auditorías constantes.
Mi conclusión: el incidente de Coldcard no es solo otro hackeo, sino un fallo sistémico en la cadena de confianza hacia la seguridad del hardware. A los propietarios de carteras de firma única vulnerables les recomiendo encarecidamente mover sus fondos inmediatamente a nuevas direcciones, idealmente con multisig. El mercado entra en una era donde la distribución de riesgos entre componentes independientes no es un lujo, sino una necesidad.