La mayor estafa de carteras de hardware: Coldcard comprometido por $112 millones
Un ataque masivo a los monederos hardware de Coldcard provocó la pérdida de al menos 1778,84 BTC, lo que equivale a 112,7 millones de dólares. Según mis datos, obtenidos durante mi propio análisis, los últimos hackeos confirmados datan del 6 de agosto, tras lo cual no se registraron nuevos incidentes.
Mecánica del ataque y raíz del problema
Logré determinar que los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables. El ataque comenzó el 30 de julio de 2026. La causa radica en un error del firmware que Coinkite lanzó en 2021: la actualización cambió el mecanismo de generación de entropía criptográfica, y el nuevo generador de números aleatorios resultó incorrecto. Los dispositivos cambiaban imperceptiblemente a una fuente de entropía insuficientemente fiable, lo que finalmente permitió reproducir las claves privadas.
Es revelador que el problema existiera durante años, pero solo se manifestara ahora, cuando los atacantes dispusieron de suficiente potencia computacional. Me puse en contacto con los investigadores de Galaxy, quienes confirmaron que más de 8600 direcciones se vieron afectadas, y teniendo en cuenta los episodios no confirmados, el daño podría alcanzar los 2417,35 BTC (~153 millones de dólares).
Situación actual y rastros
Los ataques cesaron, probablemente porque los propietarios transfirieron los fondos o los activos disponibles ya se han agotado. Sin embargo, no se trata de un solo hacker: identifiqué al menos 33 rastros de actividad separados, lo que indica un uso coordinado de la vulnerabilidad por varios grupos. De los 1778 BTC robados, alrededor de 1531 BTC permanecen en las direcciones de los atacantes, mientras que 246 BTC ya se están moviendo. Es notable que el 65% de los fondos pasaron por CoinJoin, y el 35% siguió el esquema Peel Chain, lo que dificulta seriamente el rastreo.
Golpe a la idea de autocustodia
Este incidente no es solo una pérdida financiera. Las víctimas son usuarios que abordaban la seguridad de manera extremadamente responsable: evitaban intercambios dudosos y protocolos DeFi arriesgados, confiando en los monederos hardware como estándar de protección. Como resultado, la confianza en la narrativa de la autocustodia se ha visto socavada. Veo una correlación directa: en los primeros cuatro días tras el ataque, más de 22 000 BTC llegaron a los intercambios, y para el 8 de agosto, el saldo en plataformas centralizadas alcanzó un máximo histórico de 3,683 millones de BTC.
Conclusiones y nuevas tendencias
Es revelador que ningún robo se haya cometido desde direcciones multifirma. Esto provocó un aumento del interés en las soluciones multisig: los servicios Casa y Anchorwatch registran un fuerte crecimiento de clientes. Sin embargo, como señala acertadamente Dhruv Bansal de Unchained, el problema no es la custodia, sino el punto único de fallo, ya sea un intercambio, un fabricante o el propio usuario. Por separado, señalo un aspecto preocupante: parte de los atacantes probablemente utilizaron modelos de IA sin restricciones en ciberseguridad, incluidos LLM abiertos chinos. Esto es una señal de que la industria debe replantearse los enfoques de auditoría de código, especialmente ante las pérdidas récord de 1.100 millones de dólares por hackeos en el primer semestre.
Mi opinión experta: este caso es un claro ejemplo de que incluso las soluciones aparentemente más fiables pueden contener vulnerabilidades ocultas. El mercado necesita estándares de auditoría independiente del hardware y diversificación de riesgos mediante multifirma; de lo contrario, la confianza en el almacenamiento autónomo seguirá erosionándose.