El mayor golpe a la autocustodia: los hackers retiraron más de 1700 BTC de los monederos de hardware Coldcard
Una campaña masiva de hackeo a los monederos de hardware Coldcard ha provocado pérdidas de al menos 1778,84 BTC, lo que equivale a 112,7 millones de dólares al tipo de cambio actual. Según mi análisis de datos, el último ataque confirmado data del 6 de agosto, y desde entonces no se han registrado nuevos incidentes.
Detalles del ataque y la raíz del problema
Durante la investigación se logró establecer contacto con 190 afectados y confirmar el robo de fondos de más de 8600 direcciones. Sin embargo, el daño real podría ser significativamente mayor: teniendo en cuenta los episodios no confirmados, el volumen de lo sustraído se estima en 2417,35 BTC (~153 millones de dólares). El ataque comenzó la mañana del 30 de julio de 2026, cuando los delincuentes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables.
La raíz del problema radica en un error de software cometido por la empresa Coinkite en 2021. Tras la actualización del firmware, el mecanismo de generación de entropía criptográfica fue modificado, pero debido a un fallo, el generador de números aleatorios funcionaba incorrectamente, cambiando imperceptiblemente a una fuente de entropía insuficientemente segura. Esto hizo que las claves privadas fueran vulnerables a la reproducción con suficiente potencia computacional — el problema existió durante años, pero solo se manifestó ahora.
Cese de los ataques y múltiples rastros
Galaxy Research sugiere que los ataques cesaron por dos razones: o los propietarios de los monederos vulnerables lograron transferir sus fondos a nuevas direcciones, o la mayor parte de los activos disponibles ya había sido robada. Es notable que no se trate de un solo delincuente — se han detectado al menos 33 rastros adicionales de actividad, lo que indica el uso simultáneo de la vulnerabilidad por varios atacantes.
Destino de los fondos robados
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen aún en las direcciones de los hackers, y aproximadamente 246 BTC ya han sido movidos. Una parte significativa de los fondos — alrededor del 65% — ha pasado por transacciones CoinJoin, lo que dificulta gravemente el rastreo. El 35% restante continúa circulando por la blockchain, incluido el esquema Peel Chain, utilizado para el lavado de dinero. Una pequeña proporción ha sido vista en exchanges centralizados y puentes entre cadenas, y las listas de direcciones ya han sido entregadas a las autoridades.
Golpe a la ideología del self-custody
Este incidente es especialmente doloroso porque las víctimas fueron usuarios que abordaron el almacenamiento con máxima responsabilidad: no usaron exchanges dudosos ni protocolos DeFi arriesgados, sino que confiaron en monederos de hardware — considerados el estándar de oro en seguridad. Como resultado, la confianza en la narrativa del almacenamiento autónomo se ha tambaleado: en los primeros cuatro días tras el inicio de los ataques, más de 22 000 BTC llegaron a los exchanges, y el saldo agregado en las plataformas alcanzó un máximo histórico de 3,683 millones de BTC.
Crecimiento de la multisig y el papel de la IA
Es revelador que ningún robo confirmado se haya realizado desde direcciones protegidas con multisig. Los servicios Casa y Anchorwatch ya informan de un fuerte aumento de clientes. Como señala acertadamente Dhruv Bansal, cofundador de Unchained, el problema no está en las soluciones de custodia, sino en el punto único de fallo — ya sea un exchange, un fabricante o el propio usuario. Por separado, cabe destacar el posible uso de modelos de IA por parte de los atacantes, incluidos LLM abiertos chinos, lo que subraya la creciente accesibilidad de herramientas para encontrar vulnerabilidades.
Mi comentario: Este caso es una señal de alerta para toda la industria. En medio de pérdidas récord de 1100 millones de dólares por hackeos en el primer semestre de 2026, el ataque a Coldcard demuestra que incluso las soluciones aparentemente más confiables pueden contener defectos ocultos. Los inversores deberían reconsiderar su enfoque de almacenamiento, distribuyendo riesgos entre múltiples claves y componentes independientes, en lugar de depender de un solo dispositivo.