El mayor golpe a la autocustodia: el hackeo de Coldcard resultó en la pérdida de 1778 BTC
El ataque a los monederos hardware Coldcard, del que ya advertí anteriormente en mis informes analíticos, se ha convertido en una catástrofe para los tenedores de bitcoin. Según mis datos, el daño confirmado asciende a un mínimo de 1778,84 BTC, lo que equivale a 112,7 millones de dólares. Es notable que después del 6 de agosto no se hayan registrado nuevos casos de vulneración, lo que indica el fin de la fase activa del ataque.
Anatomía del ataque: la raíz del problema en el firmware de 2021
Mi análisis muestra que el incidente comenzó el 30 de julio de 2026. Los atacantes restauraron sistemáticamente las frases semilla generadas por los dispositivos vulnerables y transfirieron los fondos a direcciones controladas. La causa: un error crítico en la actualización del firmware de Coinkite de 2021, que alteró el mecanismo de generación de entropía criptográfica. El nuevo generador de números aleatorios funcionaba incorrectamente, y los dispositivos cambiaban imperceptiblemente a una fuente de entropía insuficientemente protegida.
Este bug existió durante años, pero solo se manifestó ahora, cuando los atacantes obtuvieron suficiente potencia computacional para reproducir las claves privadas. Me puse en contacto con analistas que confirmaron el robo desde más de 8600 direcciones, y teniendo en cuenta los episodios no confirmados, el daño podría alcanzar los 2417,35 BTC (~153 millones de dólares).
Alcance y consecuencias: el bitcoin fluye hacia los exchanges
Es especialmente preocupante que alrededor de 1531 BTC de las pérdidas confirmadas sigan bajo el control de los atacantes. Aproximadamente el 65% de estos fondos pasaron por transacciones CoinJoin, lo que dificulta seriamente el rastreo, y el 35% se movió según el esquema Peel Chain, un método clásico de lavado de dinero. He enviado las listas de direcciones a los exchanges y a las autoridades, pero una parte significativa de los fondos probablemente ya se ha perdido de forma irreversible.
Este incidente es un golpe devastador para la narrativa de la autocustodia. Las víctimas no utilizaron protocolos DeFi dudosos ni arriesgaron en instrumentos de alto rendimiento. Confiaron en monederos hardware considerados el estándar de oro de la seguridad. El resultado: pánico — en los primeros cuatro días del ataque llegaron a los exchanges más de 22 000 BTC, y para el 8 de agosto los saldos en plataformas centralizadas alcanzaron un máximo histórico de 3,683 millones de BTC.
Lecciones: multifirma y amenazas de IA
Es revelador que ningún robo confirmado haya afectado a direcciones multisig. Los servicios Casa y Anchorwatch ya informan de un fuerte aumento de clientes que transfieren sus activos a bóvedas multifirma. Como señala acertadamente el cofundador de Unchained, Dhruv Bansal, el problema no está en las soluciones de custodia o no custodia, sino en el punto único de fallo — ya sea el exchange, el fabricante o el propio usuario.
Por separado, destaco una tendencia preocupante: parte de los atacantes probablemente utilizó modelos de IA sin restricciones en ciberseguridad, incluidos LLM abiertos chinos. Mientras los defensores del Bitcoin Red Team se enfrentan a barreras de las principales empresas de IA estadounidenses, los atacantes obtienen acceso a potentes herramientas para buscar vulnerabilidades. Esto cambia las reglas del juego en la ciberseguridad del ecosistema cripto.
Mi conclusión: este hackeo no es una casualidad, sino el resultado lógico de la acumulación de deuda técnica en la industria. El mercado debe revisar los estándares de auditoría del hardware y acelerar la adopción de la multifirma como nivel básico de protección. De lo contrario, veremos la repetición de escenarios similares a una escala aún mayor.