El mayor robo de carteras de hardware: el ataque a Coldcard costó a los usuarios $112 millones
El incidente masivo con los monederos de hardware Coldcard ha provocado pérdidas de al menos 1778,84 BTC, lo que equivale a aproximadamente $112,7 millones. Mis colegas de Galaxy Research han registrado que después del 6 de agosto no hubo nuevos casos confirmados de hackeo, aunque el panorama completo de los daños aún se está formando.
Mecánica del ataque: la raíz del problema está en el firmware de 2021
Tras un análisis exhaustivo, logré determinar que los atacantes restauraron sistemáticamente las frases semilla generadas por dispositivos vulnerables. El ataque comenzó el 30 de julio de 2026. La causa radica en un error cometido por Coinkite al actualizar el firmware en 2021: el cambio en el mecanismo de generación de entropía criptográfica provocó un funcionamiento incorrecto del generador de números aleatorios. Los dispositivos cambiaban silenciosamente a una fuente de entropía insuficientemente fiable, lo que hacía que las claves privadas fueran vulnerables a la reproducción si se disponía de suficiente potencia computacional.
Es importante destacar: el problema existió durante años, pero su explotación solo ha sido posible ahora. No se trata de un único atacante: Galaxy ha detectado al menos 33 rastros de actividad separados, lo que indica un uso coordinado de la vulnerabilidad por parte de varios grupos.
Situación actual: los fondos siguen en riesgo
De los fondos robados confirmados, alrededor de 1531 BTC permanecen en las direcciones de los atacantes, mientras que 246 BTC ya han sido movidos. Es notable que el 65% de estas monedas hayan pasado por transacciones CoinJoin, lo que dificulta seriamente su rastreo. El 35% restante se mueve según el esquema Peel Chain, un método clásico de lavado en el que se separan repetidamente pequeñas transacciones de una gran cantidad. Parte de los fondos ya ha sido detectada en intercambios centralizados y puentes entre cadenas; he enviado las listas de direcciones a los departamentos de cumplimiento y a las autoridades para su bloqueo.
Golpe a la ideología del autocustodia
Este incidente no es solo una pérdida financiera. Las víctimas han sido usuarios que abordaban el almacenamiento con la máxima responsabilidad: no utilizaban intercambios dudosos ni protocolos DeFi arriesgados, sino que confiaban en los monederos de hardware como estándar de seguridad. Como resultado, observamos una salida de fondos sin precedentes: en los primeros cuatro días del ataque, más de 22 000 BTC llegaron a los intercambios, y para el 8 de agosto el saldo agregado alcanzó un máximo histórico de 3,683 millones de BTC.
Es revelador que ningún robo confirmado se haya realizado desde direcciones protegidas con multifirma. Los servicios Casa y Anchorwatch ya han informado de un fuerte aumento de clientes, y el cofundador de Unchained, Dhruv Bansal, señala acertadamente: el problema no está en las soluciones de custodia o no custodia, sino en el punto único de fallo. Ya sea un intercambio, un fabricante o el propio usuario, cualquier elemento único se convierte en objetivo.
La IA como nuevo vector de amenaza
Merece especial atención el papel de la inteligencia artificial. Creo que parte de los atacantes utilizó LLM chinos abiertos sin restricciones de ciberseguridad para buscar vulnerabilidades. Esto es una señal alarmante: las capacidades de la IA para explotar errores se vuelven accesibles no solo para los defensores, sino también para los atacantes, lo que exige replantear los enfoques de auditoría de código.
Mi veredicto: este caso es un punto de inflexión para la industria. Demuestra que incluso las soluciones aparentemente más fiables pueden contener defectos ocultos. Recomiendo a todos los usuarios de Coldcard con direcciones de firma única que muevan sus fondos de inmediato, y a la industria, que adopte más activamente la multifirma y el almacenamiento distribuido de claves. Teniendo en cuenta que en la primera mitad de 2026 los proyectos cripto ya perdieron alrededor de $1,1 mil millones debido a hackeos, este incidente solo subraya los riesgos sistémicos que no podemos ignorar.