El mayor robo de carteras de hardware: el ataque a Coldcard costó a los usuarios $153 millones
Una campaña masiva de hackeo a los monederos de hardware Coldcard ha provocado pérdidas de al menos 1778,84 BTC, lo que equivale a 112,7 millones de dólares. Sin embargo, esta es solo la parte confirmada del daño. Teniendo en cuenta los episodios aún no verificados, el volumen total de fondos robados podría alcanzar los 2417,35 BTC, alrededor de 153 millones de dólares. Es importante señalar que después del 6 de agosto no se registraron nuevos ataques confirmados.
La raíz del problema: un error en la generación de entropía
Mi análisis muestra que el ataque fue posible debido a un defecto fundamental en el firmware, introducido en 2021 por la empresa Coinkite. La actualización cambió el mecanismo de generación de entropía criptográfica, pero debido a un error de software, el generador de números aleatorios funcionaba incorrectamente. Los dispositivos cambiaban imperceptiblemente a una fuente alternativa de entropía, que resultó ser catastróficamente insuficiente para proteger las claves privadas.
Los atacantes comenzaron a recuperar sistemáticamente las frases semilla a partir del 30 de julio de 2026. Con suficiente potencia de cálculo, pudieron replicar las claves privadas creadas en dispositivos vulnerables. Los investigadores contactaron con 190 víctimas y confirmaron el robo desde más de 8600 direcciones. Es notable que no se trate del trabajo de un solo hacker: se han encontrado rastros de al menos 33 atacantes individuales que explotaban la vulnerabilidad simultáneamente.
Dónde fueron a parar los fondos robados
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen en direcciones de los atacantes, mientras que 246 BTC ya han sido movidos. Una parte significativa, el 65%, pasó por transacciones CoinJoin, lo que dificulta seriamente el rastreo. El 35% restante se movió mediante el esquema Peel Chain, una técnica clásica de lavado en la que se separan repetidamente pequeñas transacciones de una gran cantidad. Una pequeña parte de los fondos fue detectada en exchanges centralizados y puentes entre cadenas; las listas de direcciones ya han sido entregadas a las autoridades.
Un golpe a la ideología de la autocustodia
Este incidente es especialmente doloroso para la comunidad cripto, ya que las víctimas fueron usuarios ejemplares. No utilizaron protocolos DeFi dudosos, no persiguieron altos rendimientos y confiaban en los monederos de hardware como el estándar de oro de la seguridad. El ataque asestó un duro golpe a la narrativa de la autocustodia: tras el inicio de los hackeos se observó una afluencia masiva de fondos a los exchanges: en los primeros cuatro días entraron más de 22 000 BTC, y el saldo agregado alcanzó un máximo histórico de 3,683 millones de BTC.
La multifirma como salvación
Es revelador que ningún robo confirmado se haya realizado desde direcciones protegidas con multifirma. Esto provocó un aumento del interés en las soluciones multisig: los servicios Casa y Anchorwatch registran un fuerte crecimiento de clientes. Sin embargo, creo que la lección principal aquí es más profunda: el problema no está en los monederos de hardware en sí, sino en el punto único de fallo. Ya sea un exchange, un fabricante o el propio usuario, la concentración de riesgo siempre es peligrosa. La distribución de claves entre componentes independientes se convierte no solo en una recomendación, sino en una necesidad.
El papel de la inteligencia artificial merece especial atención. Parte de los atacantes probablemente utilizaron modelos de IA sin restricciones en ciberseguridad, incluidos LLM abiertos chinos. Esta es una señal alarmante: las capacidades de búsqueda de vulnerabilidades están disponibles no solo para los defensores, sino también para los atacantes. En medio de las pérdidas récord de 1100 millones de dólares por hackeos en el primer semestre de 2026, este incidente debería ser un catalizador para revisar los enfoques de seguridad en la industria.