Ataque a Coldcard: robados más de 1700 BTC, y esto es solo la punta del iceberg
Una campaña masiva contra los propietarios de monederos hardware Coldcard se ha convertido en el mayor incidente del año en el ámbito de la autocustodia de criptoactivos. Según mis datos, el daño confirmado asciende a un mínimo de 1778,84 BTC, lo que equivale a 112,7 millones de dólares. Sin embargo, el panorama real es mucho más alarmante: teniendo en cuenta los episodios no confirmados, las pérdidas podrían alcanzar los 2417,35 BTC, es decir, unos 153 millones de dólares.
Fallo sistémico en la generación de claves
El ataque comenzó el 30 de julio de 2026. Los atacantes restauraron deliberadamente frases semilla creadas por dispositivos Coldcard y transfirieron los fondos a sus propias direcciones. La raíz del problema está en la actualización del firmware de 2021 de Coinkite. El cambio en el mecanismo de generación de entropía provocó un error crítico: el generador de números aleatorios funcionaba incorrectamente y los dispositivos cambiaban imperceptiblemente a una fuente de entropía insuficientemente fiable. Esto permitió a los atacantes reproducir claves privadas con suficiente potencia computacional.
Es importante destacar: la vulnerabilidad existió durante años, pero solo se manifestó ahora. El último ataque confirmado data del 6 de agosto, tras lo cual no se han registrado nuevos casos de compromiso. Probablemente, los propietarios lograron retirar sus fondos o los hackers agotaron el pool disponible. Además, no se trata de un único atacante: veo al menos 33 rastros paralelos de actividad, lo que indica una explotación coordinada de la vulnerabilidad por varios grupos.
El destino de los fondos robados
De los 1778 BTC confirmados, unos 1531 BTC siguen bajo el control de los hackers. Aproximadamente 246 BTC ya han sido movidos, de los cuales el 65% pasó por transacciones CoinJoin, lo que dificulta seriamente su rastreo. El 35% restante se movió según el esquema Peel Chain, una técnica clásica de lavado en la que se separan pequeñas transacciones de una cantidad grande. Parte de los fondos ha sido detectada en exchanges centralizados y puentes entre cadenas, y he enviado las listas de direcciones a los departamentos de cumplimiento y a las autoridades policiales.
Golpe al relato de la autocustodia
Este incidente golpea la esencia misma de la idea de «no tus claves, no tus monedas». Los afectados no son novatos que arriesgaron en plataformas dudosas. Usaban monederos hardware considerados el estándar de seguridad. El resultado: pánico — en los primeros cuatro días de ataques, más de 22 000 BTC llegaron a los exchanges, y para el 8 de agosto el saldo en plataformas centralizadas alcanzó un máximo histórico de 3,683 millones de BTC.
Es revelador que ningún robo confirmado haya afectado a direcciones multisig. Servicios como Casa y Anchorwatch registran un fuerte aumento de clientes. Sin embargo, coincido con la opinión de que contraponer soluciones de custodia y no custodia es un falso dilema. El problema está en el punto único de fallo, ya sea el exchange, el fabricante o el propio usuario. Distribuir el riesgo entre varias claves y componentes independientes es el único camino razonable hacia adelante.
La IA como factor de escalada
Señalo por separado el probable uso de IA por parte de los atacantes. Parte de los grupos, según parece, utilizó LLM chinos de código abierto sin restricciones estrictas en ciberseguridad. Esto es una señal alarmante: mientras las empresas de IA estadounidenses imponen limitaciones, los investigadores de Bitcoin Red Team se enfrentan al problema contrario: no tienen suficientes modelos potentes para la defensa. En la era de la proliferación de la IA, la búsqueda de vulnerabilidades se vuelve accesible no solo para los defensores, sino también para los atacantes.
Mi conclusión: este incidente no es un error puntual, sino un desafío sistémico para toda la industria. En medio de las pérdidas récord de 1100 millones de dólares por hackeos en la primera mitad de 2026, el ataque a Coldcard demuestra que la seguridad no es un producto estático, sino un proceso continuo de auditoría y adaptación. Los inversores deberían replantearse sus esquemas de almacenamiento, y los fabricantes, invertir en verificaciones independientes del código antes de que lo hagan los hackers.