El mayor robo de carteras de hardware: más de 1700 BTC filtrados de Coldcard debido a un fallo fatal en el generador de números aleatorios
El incidente masivo con los monederos de hardware Coldcard sacudió a la comunidad: el daño confirmado por el ataque a dispositivos vulnerables alcanzó los 1778,84 BTC, lo que equivale a aproximadamente $112,7 millones. Sin embargo, según mis datos, el panorama real podría ser mucho más sombrío: teniendo en cuenta episodios no confirmados, las pérdidas se estiman en 2417,35 BTC (~$153 millones).
La raíz del problema: un error de 2021
El ataque comenzó el 30 de julio de 2026, cuando los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables. La causa: un bug crítico en el firmware de Coinkite lanzado en 2021. El fabricante cambió el mecanismo de generación de entropía criptográfica, pero el nuevo generador de números aleatorios funcionaba incorrectamente. Los dispositivos cambiaban silenciosamente a una fuente alternativa de entropía que resultó ser catastróficamente débil para proteger las claves privadas.
El problema existió durante años, pero solo se manifestó ahora: al disponer de suficiente potencia computacional, los hackers pudieron reproducir las claves privadas creadas en estos dispositivos. Es un ejemplo clásico de cómo una vulnerabilidad "latente" en hardware de confianza se convierte en una bomba de tiempo.
Los ataques cesaron, pero no por una victoria de la defensa
La última cadena de hackeo confirmada data del 6 de agosto. Después de eso, nuevas víctimas contactan a los investigadores, pero no hay robos confirmados. Probablemente esto se deba a que los propietarios lograron retirar sus fondos, o a que la mayor parte de las monedas disponibles ya fue robada. Es importante señalar: no se trata de un solo atacante: Galaxy detectó al menos 33 rastros de actividad, lo que indica un uso coordinado de la vulnerabilidad por varios grupos.
El destino de los fondos robados
De los 1778 BTC confirmados como robados, alrededor de 1531 BTC permanecen en direcciones de los atacantes. Aproximadamente el 65% de estas monedas pasó por transacciones CoinJoin, lo que dificulta seriamente su rastreo. El 35% restante se mueve según el esquema Peel Chain, una metodología clásica de lavado en la que se separan repetidamente pequeñas transacciones de una gran suma. Una pequeña parte de los fondos se ha detectado en exchanges centralizados y puentes cross-chain, a los cuales Galaxy ya ha enviado listas de direcciones para su bloqueo.
Un golpe a la ideología del self-custody
Este incidente no solo golpea a los monederos, sino también a la propia filosofía del almacenamiento autónomo. Los afectados no son novatos que arriesgaron en plataformas dudosas. Son usuarios disciplinados que confiaron en "hardware" considerado el estándar de oro en seguridad. El resultado: pánico. En los primeros cuatro días del ataque, más de 22 000 BTC llegaron a los exchanges, y el saldo agregado en las plataformas alcanzó un máximo histórico de 3,683 millones de BTC para el 8 de agosto.
La multifirma como salvación
Es revelador que ningún robo confirmado haya afectado direcciones con multifirma. Esto provocó un fuerte aumento del interés en soluciones multisig: los servicios Casa y Anchorwatch reportan una afluencia de clientes. Sin embargo, como señala acertadamente el cofundador de Unchained, Dhruv Bansal, el problema es más profundo: un punto único de fallo puede estar en cualquier lugar, desde un exchange hasta un fabricante de hardware. La multifirma distribuye el riesgo, pero no lo elimina por completo.
La IA del lado del mal
Una preocupación adicional es el probable uso de IA por parte de los atacantes. Galaxy cree que parte de los hackers utilizó LLM abiertos chinos sin restricciones de ciberseguridad. Es irónico: los investigadores de Bitcoin Red Team, por el contrario, se enfrentaron a que las restricciones de las empresas de IA estadounidenses les impiden usar los modelos más potentes para la defensa. Entramos en una era donde la IA iguala las oportunidades entre defensores y atacantes, y este incidente es solo la primera llamada de atención.
Mi veredicto: esto no es solo un fallo técnico, sino un golpe sistémico a la confianza en los monederos de hardware. Los usuarios con Coldcard de firma única deberían migrar de inmediato a nuevas direcciones, preferiblemente con multifirma. En el contexto de pérdidas récord de $1,1 mil millones por hackeos en el primer semestre de 2026, este caso debería ser un catalizador para revisar los estándares de seguridad en la industria.