El mayor robo de carteras de hardware: los hackers extrajeron 1778 BTC de Coldcard
Una campaña masiva contra los usuarios de los monederos hardware Coldcard ha provocado pérdidas de al menos 1778,84 BTC, unos $112,7 millones al tipo de cambio actual. Según mi análisis de los datos obtenidos durante la investigación, el pico de actividad de los atacantes se produjo a finales de julio y principios de agosto, y después del 6 de agosto no se han registrado nuevos incidentes confirmados.
Mecánica del ataque: vulnerabilidad en la generación de entropía
Durante el trabajo con 190 víctimas, pude confirmar el robo de fondos de más de 8600 direcciones. Sin embargo, la escala real podría ser significativamente mayor: teniendo en cuenta los episodios no confirmados, las pérdidas se estiman en 2417,35 BTC, lo que equivale a aproximadamente $153 millones.
La raíz del problema radica en un error cometido por Coinkite en 2021 al actualizar el firmware. El cambio en el mecanismo de generación de entropía criptográfica provocó un funcionamiento incorrecto del generador de números aleatorios. Los dispositivos cambiaban imperceptiblemente a una fuente de entropía deficiente, lo que hacía que las claves privadas fueran vulnerables a la reproducción con suficiente potencia computacional. En esencia, el defecto existió durante años, pero su explotación solo se ha hecho posible ahora.
Los ataques cesaron, pero la amenaza persiste
El análisis de las cadenas de transacciones muestra que el último ataque confirmado data del 6 de agosto. El cese probablemente se deba a que los propietarios transfirieron los fondos a nuevas direcciones o a que los activos disponibles ya se habían agotado. No obstante, recomiendo encarecidamente a los usuarios de Coldcard de firma única que muevan inmediatamente sus bitcoins a nuevas direcciones.
Es importante señalar que no actuaron unos pocos atacantes. He detectado al menos 33 rastros de actividad separados, lo que indica un uso coordinado de la vulnerabilidad por parte de varios grupos.
El destino de los fondos robados
De los 1778 BTC confirmados, alrededor de 1531 BTC permanecen en las direcciones de los atacantes. Aproximadamente 246 BTC ya se han movido, con un 65% pasando por transacciones CoinJoin, que dificultan el rastreo. Otro 35% se movió según el esquema Peel Chain, un método clásico de lavado en el que se separan pequeñas transacciones de una suma grande. Una pequeña parte se ha detectado en exchanges centralizados y puentes entre cadenas; las listas de direcciones se han entregado a los servicios de cumplimiento y a las autoridades policiales.
Un golpe a la ideología del self-custody
Este incidente es especialmente doloroso porque las víctimas son usuarios ejemplares: no utilizaron exchanges dudosos ni protocolos DeFi arriesgados, sino que confiaron en los monederos hardware como estándar de seguridad. Como resultado, observamos pánico: en los primeros cuatro días tras el inicio de los ataques, llegaron a los exchanges más de 22 000 BTC, y para el 8 de agosto el saldo agregado alcanzó un máximo histórico de 3,683 millones de BTC.
La multifirma como solución y el papel de la IA
Es revelador que ningún robo confirmado haya afectado a direcciones multisig. Los servicios Casa y Anchorwatch registran un fuerte aumento de clientes, lo que confirma que la distribución del riesgo entre varias claves se está convirtiendo en la nueva norma. Como señala acertadamente Dhruv Bansal, cofundador de Unchained, el problema no está en las soluciones de custodia, sino en el punto único de fallo, ya sea un exchange, un fabricante o el propio usuario.
Por separado, señalo una señal alarmante: parte de los atacantes probablemente utilizó modelos de IA sin restricciones, en particular LLM abiertos chinos. Esto subraya que las herramientas para encontrar vulnerabilidades están disponibles no solo para los defensores, sino también para los atacantes. En medio de las pérdidas récord de $1,1 mil millones por hackeos en la primera mitad de 2026, este caso es un duro recordatorio de que incluso las soluciones de apariencia más confiable pueden tener defectos ocultos.
Mi conclusión: el incidente con Coldcard no es solo un fallo técnico, sino un desafío sistémico para toda la industria. Ya no se puede confiar en un solo monedero hardware; el futuro pertenece a los esquemas híbridos con multifirma y auditorías de código periódicas.