Ataque a Coldcard: cómo una vulnerabilidad en el generador de números aleatorios provocó la pérdida de $112 millones en BTC
Una campaña masiva contra los usuarios de los monederos de hardware Coldcard se ha convertido en el mayor incidente en el ámbito del autocustodia de bitcoines en los últimos años. Según mis datos, el daño confirmado asciende al menos a 1778,84 BTC, lo que equivale a 112,7 millones de dólares, aunque las pérdidas reales podrían ser considerablemente mayores, hasta 2417,35 BTC (~153 millones de dólares), teniendo en cuenta episodios no confirmados.
La raíz del problema: un error en el firmware de 2021
El ataque comenzó el 30 de julio de 2026, cuando los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables. La causa radica en la actualización del firmware de Coinkite lanzada en 2021. Debido a un fallo en el nuevo generador de números aleatorios, los dispositivos cambiaban silenciosamente a una fuente alternativa de entropía que resultó ser críticamente débil para proteger las claves privadas.
El problema existió durante años, pero solo ahora, con el aumento de la potencia computacional, los atacantes pudieron reproducir las claves privadas. Es importante destacar: esto no es un hacker aislado. Galaxy Research ha identificado al menos 33 rastros de actividad separados, lo que indica un uso coordinado de la vulnerabilidad por parte de varios grupos.
Situación actual y movimiento de fondos
El último ataque confirmado data del 6 de agosto, y desde entonces no se han registrado nuevos casos de compromiso. Sin embargo, de los fondos robados, aproximadamente 1531 BTC permanecen en las direcciones de los atacantes, mientras que 246 BTC ya han sido movidos. Es notable que el 65% de las monedas robadas pasaron por transacciones CoinJoin, lo que dificulta el rastreo, y el 35% a través del esquema Peel Chain, utilizado para el lavado.
Impacto en la narrativa del autocustodia
Este incidente no es solo una pérdida financiera. Las víctimas eran partidarios ejemplares del self-custody: no usaban intercambios dudosos ni protocolos DeFi, sino que confiaban en el monedero de hardware como un estándar de seguridad. Como resultado, la confianza en este modelo se ha visto socavada: en los primeros cuatro días de ataques, más de 22 000 BTC llegaron a los intercambios, y para el 8 de agosto, el saldo en plataformas centralizadas alcanzó un máximo histórico de 3,683 millones de BTC.
La firma múltiple como solución y el papel de la IA
Es revelador que ningún robo confirmado haya afectado a direcciones multisig. Los servicios Casa y Anchorwatch registran un fuerte aumento de clientes, lo que confirma que la distribución del riesgo entre varias claves se está convirtiendo en el nuevo estándar de seguridad. Al mismo tiempo, Galaxy señala una tendencia preocupante: parte de los atacantes utilizó modelos de IA para buscar vulnerabilidades, lo que hace que estos exploits sean más accesibles para los ciberdelincuentes.
Mi conclusión: este caso es una llamada de atención para toda la industria. Incluso el hardware más confiable no está exento de errores de software, y un punto único de fallo, ya sea un dispositivo o un intercambio, conlleva riesgos catastróficos. Los inversores deberían reconsiderar su enfoque de almacenamiento, diversificando no solo los activos, sino también la infraestructura de seguridad.