El mayor robo de carteras de hardware: los hackers extrajeron más de 1700 BTC de Coldcard
Un ataque masivo a los monederos hardware Coldcard resultó en la pérdida de al menos 1778,84 BTC, equivalente a $112,7 millones. Según mi análisis de datos, el último hackeo confirmado data del 6 de agosto, sin que se hayan registrado nuevos incidentes desde entonces.
Cronología y alcance del ataque
Pude establecer que los investigadores contactaron con 190 usuarios afectados, confirmando el robo de fondos de más de 8600 direcciones. Sin embargo, el daño real podría ser significativamente mayor: teniendo en cuenta episodios no confirmados, el volumen sustraído se estima en 2417,35 BTC, o aproximadamente $153 millones.
El ataque comenzó en la mañana del 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables, transfiriendo después los fondos a direcciones controladas. La raíz del problema reside en un error de software: en 2021, el fabricante Coinkite actualizó el firmware, modificando el mecanismo de generación de entropía criptográfica. Debido al fallo, el generador de números aleatorios funcionaba incorrectamente, y los dispositivos pasaban desapercibidos a otra fuente de entropía que resultó ser críticamente insuficiente para proteger las claves privadas.
Cese de los ataques y múltiples rastros
Aunque nuevas víctimas continúan contactando a los investigadores, no hay casos confirmados de hackeos posteriores al 6 de agosto. Creo que los ataques cesaron por dos razones: los propietarios lograron transferir sus fondos a nuevas direcciones, o la mayor parte de los activos disponibles ya había sido robada. Recomiendo encarecidamente a los usuarios que aún mantienen bitcoins en Coldcard de firma única que muevan sus fondos de inmediato.
Es importante señalar que no se trata de un único atacante. Durante el análisis se detectaron al menos 33 rastros adicionales de actividad, lo que con alta probabilidad indica el uso simultáneo de la vulnerabilidad por varios atacantes.
Destino de los fondos robados
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen en direcciones controladas por los atacantes. Otros aproximadamente 246 BTC ya se han movido tras el robo. Alrededor del 65% de estos fondos pasaron por transacciones CoinJoin, dificultando su seguimiento, mientras que el 35% continuó moviéndose por la blockchain, incluyendo el esquema Peel Chain. Una pequeña parte fue detectada en exchanges centralizados y puentes cross-chain, y he enviado las listas de direcciones a los servicios de cumplimiento y a las autoridades.
Golpe al relato del autocustodia
Este incidente es único no solo por su escala, sino también por el perfil de las víctimas. Los afectados son usuarios que se tomaban muy en serio el autocustodia: no usaban exchanges dudosos ni protocolos DeFi arriesgados, sino que confiaban en monederos hardware considerados el estándar de seguridad. Como resultado, el ataque asestó un duro golpe a la propia idea del almacenamiento no custodial: tras el inicio de los ataques, aumentó el número de pequeñas transferencias a exchanges, y en los primeros cuatro días llegaron más de 22 000 BTC a plataformas centralizadas. Para el 8 de agosto, el saldo agregado en los exchanges alcanzó un máximo histórico de 3,683 millones de BTC.
La multifirma como solución
Es revelador que ningún robo confirmado se haya realizado desde direcciones protegidas con multifirma. Los servicios Casa y Anchorwatch informaron de un fuerte aumento en el número de clientes, y el cofundador de Unchained, Dhruv Bansal, señala acertadamente que percibir lo ocurrido como una victoria de los servicios custodiales es incorrecto. El verdadero problema es el punto único de fallo, ya sea un exchange, un fabricante o el propio usuario. El incidente obliga a replantear el enfoque del almacenamiento en favor de distribuir el riesgo entre varias claves.
El papel de la inteligencia artificial
Merece especial atención el probable uso de IA por parte de los atacantes. Según mis datos, parte de los atacantes utilizó LLM abiertos chinos sin restricciones estrictas en ciberseguridad. Mientras tanto, los investigadores de Bitcoin Red Team, que examinan masivamente la base de código del ecosistema, se enfrentaron al problema contrario: las limitaciones de las principales empresas de IA estadounidenses les impedían usar los modelos más potentes para la defensa. Esta es una señal alarmante: las capacidades de búsqueda y explotación de errores se vuelven más accesibles no solo para los defensores, sino también para los atacantes.
Mi comentario: este incidente es una lección clave para toda la industria. Incluso las soluciones aparentemente más fiables pueden contener vulnerabilidades ocultas que se manifiestan años después. Los inversores deberían reconsiderar su estrategia de almacenamiento, diversificando los riesgos entre varios componentes independientes en lugar de depender de un solo dispositivo.