Ataque a Coldcard: robados más de 1700 BTC — una lección para la industria de la autocustodia
Una campaña masiva contra los propietarios de monederos hardware Coldcard ha provocado pérdidas de al menos 1778,84 BTC, unos $112,7 millones al tipo de cambio actual. Mis colegas de Galaxy Research confirmaron el robo de fondos de más de 8600 direcciones, contactando con 190 afectados. Sin embargo, el daño real probablemente sea mayor: teniendo en cuenta episodios no confirmados, podría tratarse de 2417,35 BTC (~$153 millones). Es importante señalar que después del 6 de agosto no se han registrado nuevos hackeos confirmados.
La raíz del problema está en el firmware de 2021
El ataque comenzó el 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables. La causa es un error crítico en la actualización del firmware de Coinkite de 2021. El cambio en el mecanismo de generación de entropía provocó un fallo en el generador de números aleatorios: los dispositivos cambiaban imperceptiblemente a una fuente con protección criptográfica insuficiente. El problema permaneció oculto durante años, pero solo se manifestó ahora, cuando los atacantes tuvieron la potencia computacional para reproducir las claves privadas.
Cese de los ataques y múltiples rastros
Galaxy relaciona la detención de los ataques con dos factores: la migración de fondos a nuevas direcciones y el agotamiento de los activos disponibles. Además, es evidente que no actuó un solo grupo: los investigadores identificaron al menos 33 rastros de actividad separados, lo que indica el uso simultáneo de la vulnerabilidad por varios atacantes.
El destino de los fondos robados
De los 1778 BTC confirmados, unos 1531 BTC permanecen en las direcciones de los hackers, mientras que 246 BTC ya han sido movidos. El blanqueo fue activo: el 65% de los fondos pasó por CoinJoin y el 35% por esquemas Peel Chain. Parte de los bitcoins se detectó en exchanges y puentes entre cadenas; Galaxy entregó listas de direcciones a las autoridades y empresas de cumplimiento.
Un golpe a la idea de la autocustodia
El incidente golpea directamente la narrativa del almacenamiento autónomo. Las víctimas son usuarios que evitaban DeFi arriesgados y exchanges dudosos, confiando en monederos hardware. La reacción del mercado fue inmediata: en los primeros cuatro días llegaron más de 22 000 BTC a los exchanges, y para el 8 de agosto el saldo en plataformas centralizadas alcanzó un máximo histórico de 3,683 millones de BTC. Es una señal clara de pánico y pérdida de confianza.
La multifirma como solución
Es revelador que ningún robo confirmado haya afectado a direcciones multisig. Los servicios Casa y Anchorwatch registraron un fuerte aumento de clientes. Como señala acertadamente el cofundador de Unchained, Dhruv Bansal, el problema está en el punto único de fallo, ya sea un exchange, un fabricante o el propio usuario. Distribuir el riesgo entre varias claves se convierte en la nueva norma.
La IA del lado de los atacantes
Un aspecto preocupante es el posible uso de IA. Galaxy sospecha que parte de los atacantes utilizó LLM chinos de código abierto sin restricciones de ciberseguridad. La ironía es que los investigadores de Bitcoin Red Team, por el contrario, sufrían las prohibiciones de las empresas de IA estadounidenses. Esto subraya una carrera armamentista: la IA democratiza la búsqueda de vulnerabilidades y la industria debe adaptarse.
Mi conclusión: Este incidente no es solo un hackeo, sino un fallo sistémico en la confianza hacia los monederos hardware. Recuerda que incluso las soluciones más fiables no están exentas de errores en el código. Recomiendo a todos los titulares de Coldcard migrar inmediatamente a esquemas multifirma, y a la industria, revisar los estándares de auditoría de firmware. En la primera mitad de 2026, los proyectos cripto ya perdieron $1,1 mil millones debido a exploits, y este caso podría convertirse en un catalizador para endurecer los requisitos de seguridad.