El mayor robo en la historia de los monederos de hardware: el hackeo de Coldcard costó a los usuarios $112 millones
Un ataque masivo a los monederos hardware Coldcard ha provocado pérdidas que ya se estiman en 1778,84 BTC, más de $112 millones al tipo de cambio actual. Se trata de uno de los incidentes más graves en el ámbito del almacenamiento autocustodiado de criptoactivos en los últimos años. Es importante destacar: los nuevos casos confirmados de hackeo cesaron después del 6 de agosto, lo que da motivos para un optimismo cauteloso.
Anatomía del ataque: un error en el firmware de 2021
Mi análisis muestra que la raíz del problema está en un error de software cometido por la empresa Coinkite ya en 2021. La actualización del firmware cambió el mecanismo de generación de entropía criptográfica, pero debido a un fallo, el generador de números aleatorios funcionaba incorrectamente. Los dispositivos cambiaban imperceptiblemente a una fuente alternativa de entropía, que resultó ser catastróficamente insuficiente para proteger las claves privadas. Este es un caso clásico de vulnerabilidad "latente": el problema existió durante años, pero para explotarlo se requería una potencia computacional seria que los atacantes solo obtuvieron recientemente.
Los investigadores contactaron con 190 afectados y confirmaron el robo desde más de 8600 direcciones. Sin embargo, la escala real podría ser significativamente mayor: teniendo en cuenta los episodios no confirmados, el daño total podría alcanzar los 2417,35 BTC (~$153 millones). Es notable que el ataque comenzó el 30 de julio de 2026, y los atacantes actuaron de manera sistemática, restaurando frases semilla y transfiriendo fondos a direcciones controladas.
Los rastros conducen a múltiples atacantes
Contrariamente a las expectativas iniciales, no es obra de un lobo solitario. He detectado al menos 33 rastros de actividad separados, lo que indica el uso simultáneo de la vulnerabilidad por varios grupos. De los fondos robados confirmados, alrededor de 1531 BTC permanecen aún en direcciones de los atacantes, y 246 BTC ya se han movido. Es notable que el 65% de estas monedas pasaron por transacciones CoinJoin, lo que dificulta seriamente el rastreo, y otro 35% se movió siguiendo el esquema Peel Chain, un método clásico de lavado.
Un golpe al relato de la autocustodia
Este incidente asesta un golpe fortísimo a la propia idea de la autocustodia. Las víctimas no fueron novatos que arriesgaban en plataformas dudosas, sino usuarios conservadores que confiaban en los monederos hardware como el estándar de oro de la seguridad. Tras el inicio de los ataques, registré un aumento brusco de pequeñas transferencias a los exchanges: en los primeros cuatro días llegaron más de 22 000 BTC a las plataformas centralizadas, y para el 8 de agosto el saldo alcanzó un máximo histórico de 3,683 millones de BTC. Es una señal clara de pánico y pérdida de confianza.
La multifirma como nueva norma
Es revelador que ningún robo confirmado se haya realizado desde direcciones protegidas con multifirma. Los servicios Casa y Anchorwatch ya informan de un aumento brusco de clientes. Sin embargo, coincido con la opinión del cofundador de Unchained, Dhruv Bansal: el problema no está en la contraposición entre soluciones de custodia y no custodia, sino en el punto único de fallo. Ya sea un exchange, un fabricante o el propio usuario, cualquier elemento único se vuelve vulnerable.
La IA del lado de los atacantes
Merece especial atención el papel de la inteligencia artificial. Hay una alta probabilidad de que parte de los atacantes utilizara LLM chinos abiertos sin restricciones en materia de ciberseguridad. Es una señal alarmante: las capacidades de búsqueda y explotación de errores se vuelven accesibles no solo para los investigadores, sino también para los delincuentes. En un contexto en el que, en la primera mitad de 2026, los proyectos cripto ya han perdido alrededor de $1,1 mil millones debido a hackeos, este incidente subraya la necesidad de revisar los enfoques de seguridad.
Mi veredicto: el ataque a Coldcard no es solo un fallo técnico, sino un desafío sistémico para la industria. A los usuarios que aún guardan bitcoins en dispositivos de firma única, les recomiendo encarecidamente migrar de inmediato a soluciones multisig. El incidente demostró que incluso las herramientas de apariencia más fiable pueden ocultar defectos fatales, y solo la distribución de riesgos entre varios componentes independientes puede garantizar una protección real.