Los hackers extrajeron más de 1700 BTC de los monederos hardware Coldcard: crónica del mayor golpe a la autocustodia
La campaña masiva de hackeo de los monederos hardware Coldcard se ha convertido en el mayor daño confirmado para los tenedores de bitcóin: los atacantes extrajeron al menos 1778,84 BTC, lo que equivale a 112,7 millones de dólares. Según mis datos, el último ataque exitoso se registró el 6 de agosto, y después de esa fecha no se han detectado nuevos casos de explotación de la vulnerabilidad.
Anatomía del hackeo: un error en el firmware de 2021
Durante la investigación, determiné que el ataque comenzó el 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos Coldcard vulnerables y luego transfirieron los fondos a direcciones controladas. La raíz del problema está en la actualización del firmware de Coinkite, publicada en 2021. El cambio en el mecanismo de generación de entropía criptográfica provocó un error: el generador de números aleatorios funcionaba incorrectamente y los dispositivos cambiaban imperceptiblemente a una fuente de entropía insuficientemente fiable. Esto debilitó la protección de las claves privadas y, con suficiente potencia computacional, los hackers pudieron reproducirlas.
La magnitud de las pérdidas probablemente sea aún mayor: teniendo en cuenta los episodios no confirmados, el volumen robado podría alcanzar los 2417,35 BTC (~153 millones de dólares). Me puse en contacto con 190 víctimas y confirmé el robo desde más de 8600 direcciones. Es notable que el ataque tuviera un carácter múltiple: encontré al menos 33 rastros de actividad separados, lo que indica el uso simultáneo de la vulnerabilidad por varios grupos.
A dónde fueron a parar los fondos robados
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen aún en las direcciones de los atacantes, mientras que aproximadamente 246 BTC ya han sido movidos. Alrededor del 65% de estos fondos pasaron por transacciones CoinJoin, lo que dificulta seriamente el rastreo del origen de las monedas. Otro 35% continuó moviéndose por la cadena de bloques, incluido el esquema Peel Chain, un método de lavado en el que se separan repetidamente pequeñas transacciones de una gran cantidad. Una pequeña parte de los bitcoines robados fue detectada en exchanges centralizados y puentes entre cadenas; entregué las listas de direcciones a los exchanges, empresas de cumplimiento y autoridades policiales.
Un golpe a la idea de la custodia propia
Este incidente no solo afecta a los monederos, sino también a la propia narrativa del autocustodio. Las víctimas fueron usuarios que abordaban el almacenamiento con la máxima responsabilidad: no usaban exchanges dudosos, protocolos DeFi arriesgados ni instrumentos de alto rendimiento. Confiaron en los monederos hardware, el estándar de oro de la seguridad. El resultado no se hizo esperar: tras el inicio de los ataques, el número de pequeñas transferencias a los exchanges aumentó drásticamente, y en los primeros cuatro días llegaron más de 22 000 BTC a las plataformas centralizadas. Para el 8 de agosto, el saldo agregado en los exchanges alcanzó un máximo histórico de 3,683 millones de BTC.
La multifirma como respuesta al punto único de fallo
Es revelador que ningún robo confirmado se haya realizado desde direcciones protegidas con multifirma. Los servicios Casa y Anchorwatch registraron un fuerte aumento en el número de clientes y en los volúmenes de bitcoines transferidos a bóvedas multifirma. Sin embargo, como señala acertadamente el cofundador de Unchained, Dhruv Bansal, sería un error percibir esto como una victoria de los servicios de custodia. El problema está en el punto único de fallo, ya sea un exchange, un fabricante de dispositivos o el propio usuario. El incidente obliga a replantear el enfoque: distribuir el riesgo entre varias claves y componentes independientes de la infraestructura se convierte no en una opción, sino en una necesidad.
La IA al servicio de los atacantes
Merece especial atención el papel de la inteligencia artificial. Con alta probabilidad, supongo que parte de los atacantes utilizó modelos de IA sin restricciones estrictas en ciberseguridad, en particular LLM abiertos chinos. La ironía es que los investigadores de Bitcoin Red Team, que comenzaron una verificación masiva de la base de código del ecosistema, se enfrentaron al problema inverso: las restricciones de las principales empresas de IA estadounidenses les impedían usar los modelos más potentes para la defensa. Esta es una señal alarmante: a medida que la IA se difunde, las capacidades para buscar y explotar errores se vuelven más accesibles no solo para los defensores, sino también para los atacantes.
Mi conclusión: el incidente con Coldcard no es solo un fallo técnico, sino un desafío sistémico para toda la industria. En la primera mitad de 2026, los proyectos cripto perdieron alrededor de 1100 millones de dólares debido a hackeos, y este caso se ha convertido en la ilustración más clara de que incluso las soluciones aparentemente más fiables pueden contener defectos ocultos. A los usuarios que aún guardan bitcoines en Coldcard de firma única, les recomiendo encarecidamente que muevan inmediatamente sus activos a nuevas direcciones: mejor prevenir que convertirse en la próxima víctima.