La mayor estafa de carteras de hardware: más de 1700 BTC filtrados debido a un error fatal de Coldcard
Un ataque masivo a los monederos de hardware Coldcard resultó en la pérdida de al menos 1778,84 BTC, lo que equivale a $112,7 millones. Según mis datos, el último caso confirmado de hackeo data del 6 de agosto, y después de esa fecha no se han registrado nuevos incidentes.
Anatomía del ataque: la raíz del problema en la generación de entropía
Durante la investigación, logré establecer contacto con 190 usuarios afectados, lo que permitió confirmar el robo de fondos de más de 8600 direcciones. Sin embargo, la magnitud real del daño podría ser significativamente mayor: teniendo en cuenta episodios no confirmados, las pérdidas alcanzan los 2417,35 BTC (~$153 millones).
El ataque comenzó no más tarde de la mañana del 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables y transfirieron los fondos a monederos controlados. La causa radica en un error del firmware de Coinkite de 2021: la actualización cambió el mecanismo de generación de entropía criptográfica, y debido a un bug, el generador de números aleatorios comenzó a utilizar una fuente insuficientemente confiable. El problema existió durante años, pero solo ahora, con el aumento de la potencia computacional, se ha vuelto explotable.
Cese de los ataques y múltiples rastros
Según mis observaciones, los ataques cesaron por dos escenarios: o los usuarios lograron mover sus activos, o los fondos disponibles se agotaron. Es notable que no se trata de un solo hacker: he detectado al menos 33 rastros de actividad separados, lo que indica un uso coordinado de la vulnerabilidad por varios grupos.
Destino de los fondos robados
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen aún en las direcciones de los atacantes, mientras que 246 BTC ya han sido movidos. Una parte significativa —el 65%— pasó por mezcladores CoinJoin, que dificultan el rastreo, y el 35% se movió mediante el esquema Peel Chain, donde se separan microtransacciones de grandes sumas. Parte de las monedas se ha detectado en exchanges centralizados y puentes cross-chain; ya he entregado las listas de direcciones a las autoridades y empresas de cumplimiento.
Golpe a la filosofía de autocustodia
Este incidente golpea la propia idea de la autocustodia. Los afectados no son novatos que arriesgaron en plataformas dudosas, sino tenedores conservadores que confiaron en el "hardware". Tras el inicio de los ataques, se observó un aumento en las transferencias a exchanges: en los primeros cuatro días ingresaron más de 22 000 BTC, y para el 8 de agosto el saldo de los exchanges alcanzó un máximo histórico de 3,683 millones de BTC.
La multifirma como salvación y el papel de la IA
Es revelador que ningún robo confirmado haya afectado a direcciones multisig. Los servicios Casa y Anchorwatch registraron un fuerte aumento de clientes que transfieren fondos a bóvedas multifirma. Sin embargo, como señala acertadamente el cofundador de Unchained, el problema no está en los custodios, sino en el punto único de fallo, ya sea un exchange, un fabricante o el propio usuario.
Quiero destacar por separado una tendencia preocupante: parte de los atacantes probablemente utilizó modelos de IA sin restricciones, en particular LLM abiertos chinos. Esto cambia el panorama de amenazas: las herramientas para encontrar vulnerabilidades están disponibles no solo para investigadores, sino también para ciberdelincuentes. En el contexto de pérdidas récord de $1,1 mil millones en la primera mitad de 2026, este caso es una señal para revisar los estándares de seguridad en la industria.
Mi conclusión: el incidente con Coldcard no es solo un fallo técnico, sino un desafío sistémico. Recomiendo encarecidamente a los usuarios migrar de inmediato de monederos de hardware de firma única a soluciones multisig, distribuyendo los riesgos entre componentes independientes. La confianza en el "hardware impenetrable" debe dar paso a la redundancia arquitectónica.