El mayor robo de carteras de hardware: la vulnerabilidad de Coldcard les costó a los tenedores de BTC $112 millones
El incidente masivo con los monederos de hardware Coldcard sacudió a la comunidad cripto: los atacantes retiraron al menos 1778,84 BTC, lo que equivale a $112,7 millones. Según mi análisis de los datos obtenidos durante la investigación, el ataque afectó a más de 8600 direcciones, y esto está lejos de ser el límite: teniendo en cuenta los episodios no confirmados, el daño real podría alcanzar los 2417,35 BTC (~$153 millones).
La raíz del problema: un bug oculto en la generación de entropía
El ataque comenzó el 30 de julio de 2026, cuando los hackers restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables. La causa radica en un error incorporado en el firmware de Coinkite ya en 2021. La actualización cambió el mecanismo de generación de entropía criptográfica, pero debido al bug, el generador de números aleatorios funcionaba incorrectamente, cambiando imperceptiblemente a una fuente con protección críticamente insuficiente de las claves privadas. El problema existió durante años, pero solo ahora, con el aumento de la potencia computacional, se ha vuelto explotable.
Es importante señalar que después del 6 de agosto no se han registrado nuevos hackeos confirmados. Esto se explica o porque los propietarios lograron transferir sus fondos, o porque la mayor parte de los activos disponibles ya fue robada. Sin embargo, subrayo: los usuarios que aún almacenan BTC en Coldcard de firma única deben migrar inmediatamente a nuevas direcciones.
Los rastros conducen a múltiples atacantes
No se trata de un solo delincuente. Mi análisis reveló al menos 33 rastros de actividad separados, lo que indica un uso coordinado de la vulnerabilidad por varios grupos. De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen en direcciones controladas por los hackers, y 246 BTC ya han sido movidos. Es notable que el 65% de los fondos pasó por transacciones CoinJoin, que dificultan el rastreo, y el 35% a través de esquemas Peel Chain, un método clásico de lavado de dinero.
Un golpe a la ideología del self-custody
El incidente golpea el propio concepto de almacenamiento autónomo. Las víctimas no son usuarios inexpertos, sino aquellos que evitaban conscientemente los exchanges y los riesgos de DeFi, confiando en los monederos de hardware. Esto provocó pánico: en los primeros cuatro días, más de 22 000 BTC llegaron a los exchanges, y para el 8 de agosto, los saldos en plataformas centralizadas alcanzaron un máximo histórico de 3,683 millones de BTC.
La multifirma como salvación
Es revelador que ningún robo confirmado haya afectado a direcciones multisig. Los servicios Casa y Anchorwatch ya informan de un fuerte aumento de clientes. Sin embargo, como señala acertadamente el cofundador de Unchained, Dhruv Bansal, el problema es más profundo: es un punto único de fallo, ya sea un exchange, un fabricante o el propio usuario. Distribuir el riesgo entre varias claves se convierte no en una recomendación, sino en una necesidad.
Merece especial atención el papel de la IA: parte de los atacantes probablemente utilizó LLM chinos de código abierto sin restricciones en ciberseguridad, lo que hace que la búsqueda de vulnerabilidades sea accesible para un amplio círculo de personas. En medio de pérdidas récord de $1,1 mil millones por hackeos en el primer semestre de 2026, este caso es una señal de alerta para toda la industria.
Mi opinión experta: este incidente es un punto de inflexión. Demuestra que incluso el "estándar de oro" del almacenamiento en hardware no está exento de defectos ocultos. Los inversores deberían reconsiderar sus estrategias: la multifirma y la diversificación de claves no son paranoia, sino higiene básica en la nueva realidad donde la IA potencia tanto la defensa como los ataques.