Ataque a Coldcard: robados más de 1700 BTC, revelada una vulnerabilidad crítica en el firmware
Una campaña masiva de hackeo de monederos hardware Coldcard ha provocado pérdidas de al menos 1778,84 BTC, equivalentes a 112,7 millones de dólares. Según mi análisis de datos, el último ataque confirmado data del 6 de agosto, sin que se hayan registrado nuevos incidentes desde entonces.
Mecanismo del ataque: la raíz del problema en la generación de entropía
Durante la investigación, pude determinar que los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables. El ataque comenzó el 30 de julio de 2026 y afectó a más de 8600 direcciones pertenecientes a 190 víctimas confirmadas. Sin embargo, el daño real podría ser significativamente mayor: teniendo en cuenta episodios no confirmados, se estima en 2417,35 BTC (~153 millones de dólares).
La raíz del problema reside en la actualización del firmware de Coinkite de 2021. El cambio en el mecanismo de generación de entropía criptográfica provocó un error crítico: el generador de números aleatorios funcionaba incorrectamente y los dispositivos cambiaban imperceptiblemente a una fuente de entropía insuficientemente fiable. Esto permitió a los atacantes, con suficiente potencia computacional, reproducir las claves privadas.
Cese de los ataques y múltiples rastros
El cese de nuevos ataques se explica por dos factores: los propietarios lograron mover sus fondos, o los activos disponibles ya se habían agotado. Sin embargo, es importante señalar que esto no es obra de un individuo aislado: he detectado al menos 33 rastros de actividad separados, lo que indica un uso coordinado de la vulnerabilidad por parte de varios grupos.
De los fondos robados confirmados, alrededor de 1531 BTC permanecen en direcciones de los atacantes. Es notable que el 65% de estas monedas hayan pasado por transacciones CoinJoin, que dificultan el rastreo, mientras que el 35% se movió según el esquema Peel Chain, un método clásico de lavado. Parte de los fondos ya ha sido detectada en intercambios centralizados y puentes entre cadenas, y he enviado las listas de direcciones a los servicios de cumplimiento y a las autoridades policiales.
Golpe a la narrativa del autocustodia
Este incidente no es solo una pérdida financiera. Las víctimas fueron usuarios que abordaron la seguridad con máxima responsabilidad: evitaron intercambios dudosos y protocolos DeFi arriesgados, confiando en monederos hardware. Como resultado, observamos una salida sin precedentes de fondos hacia los intercambios: en los primeros cuatro días tras el inicio de los ataques se depositaron más de 22 000 BTC, y para el 8 de agosto el saldo en las plataformas alcanzó un máximo histórico de 3,683 millones de BTC.
La multifirma como solución y el papel de la IA
Es revelador que ningún robo confirmado se haya realizado desde direcciones multifirma. Los servicios Casa y Anchorwatch registran un fuerte aumento de clientes, y el cofundador de Unchained, Dhruv Bansal, señala acertadamente: el problema no está en las soluciones de custodia, sino en el punto único de fallo, ya sea un intercambio, un fabricante o el propio usuario. Distribuir el riesgo entre claves se convierte no solo en una recomendación, sino en una necesidad.
El papel de la IA merece especial atención. Creo que parte de los atacantes utilizó modelos LLM abiertos sin restricciones de ciberseguridad, incluidos los chinos. Esto es una señal alarmante: la automatización de la búsqueda de vulnerabilidades hace que las herramientas de hackeo estén al alcance de un amplio público, mientras que las medidas de protección, por el contrario, enfrentan limitaciones de las principales empresas de IA.
Mi conclusión: este caso demuestra que incluso las soluciones aparentemente más fiables pueden contener defectos ocultos. En la primera mitad de 2026, los proyectos cripto ya perdieron alrededor de 1100 millones de dólares debido a hackeos, y el ataque a Coldcard es solo la punta del iceberg. La industria necesita revisar los estándares de auditoría del hardware e implementar más activamente esquemas de multifirma para restaurar la confianza en la idea del autocustodia.