El mayor robo de carteras de hardware: los hackers extrajeron 1778 BTC de Coldcard
El incidente masivo con los monederos hardware Coldcard sacudió a la comunidad cripto: los atacantes lograron robar al menos 1778,84 BTC, lo que equivale a $112,7 millones. Mis colegas de Galaxy Research llevaron a cabo un análisis detallado y confirmaron que los ataques cesaron después del 6 de agosto, pero las consecuencias de este hackeo seguirán afectando a toda la industria durante mucho tiempo.
Cronología del ataque a Coldcard
Los investigadores establecieron contacto con 190 víctimas y verificaron el robo de fondos desde más de 8600 direcciones. La magnitud real podría ser mucho mayor: teniendo en cuenta los episodios no confirmados, el daño alcanza los 2417,35 BTC (~$153 millones). El ataque comenzó en la mañana del 30 de julio de 2026, cuando los hackers empezaron a recuperar sistemáticamente las frases semilla generadas por dispositivos vulnerables.
La raíz del problema reside en un error del firmware de 2021 de Coinkite. El fabricante modificó el mecanismo de generación de entropía criptográfica, pero el nuevo generador de números aleatorios funcionaba incorrectamente. Los dispositivos cambiaban imperceptiblemente a una fuente de entropía de respaldo, que resultó ser catastróficamente débil para proteger las claves privadas. El defecto existió durante años, pero solo ahora los hackers obtuvieron suficiente potencia computacional para reproducir las claves.
Múltiples atacantes y el destino de los fondos robados
Conclusión importante: no es obra de un solo individuo. Galaxy encontró al menos 33 rastros de actividad separados, lo que indica la explotación simultánea de la vulnerabilidad por varios grupos. De los 1778 BTC confirmados, alrededor de 1531 BTC siguen bajo control de los atacantes, y aproximadamente 246 BTC ya han sido movidos.
El lavado se realizó siguiendo esquemas clásicos: el 65% de los fondos pasó por transacciones CoinJoin, que dificultan el rastreo, y el 35% se movió por la blockchain mediante Peel Chain, un método en el que se separan repetidamente pequeñas microtransacciones de una suma grande. Parte de los bitcoins apareció en exchanges centralizados y puentes cross-chain, y Galaxy ya ha enviado listas de direcciones a los departamentos de cumplimiento y a las autoridades.
Golpe al relato de la autocustodia
Lo especialmente cínico de la situación es que las víctimas fueron usuarios ejemplares: no interactuaron con exchanges dudosos, no usaron protocolos DeFi arriesgados y guardaron sus fondos en "hardware" que se consideraba el estándar de seguridad. Este incidente asestó un duro golpe a la filosofía del self-custody. No es sorprendente que en los primeros cuatro días tras el inicio de los ataques llegaran a los exchanges más de 22 000 BTC, y para el 8 de agosto el saldo agregado en las plataformas alcanzara un máximo histórico de 3,683 millones de BTC.
Es revelador que ningún robo confirmado haya afectado a direcciones multisig. Los servicios Casa y Anchorwatch registran un fuerte aumento de clientes que migran a almacenamiento multisig. El cofundador de Unchained, Dhruv Bansal, señala acertadamente: la victoria de los servicios de custodia no tiene nada que ver aquí; el problema es el punto único de fallo, ya sea un exchange, un fabricante o el propio usuario.
La IA como herramienta de los atacantes
Una señal alarmante es el posible uso de IA por parte de los hackers. Galaxy presume con alta probabilidad que parte de los atacantes utilizó modelos LLM chinos de código abierto sin restricciones de ciberseguridad. Al mismo tiempo, los investigadores de Bitcoin Red Team, que dedicaron esfuerzos a revisar la base de código, se encontraron con obstáculos: las restricciones de las empresas de IA estadounidenses impiden usar los modelos más potentes para la defensa.
Mi comentario: Este caso es una llamada de atención para toda la industria. Durante demasiado tiempo hemos confiado en la "impenetrabilidad" de los monederos hardware, olvidando que cualquier software puede contener defectos ocultos. El incidente con Coldcard debería ser un catalizador para revisar los estándares de seguridad: la diversificación de claves, la multisig y la auditoría regular de firmwares no son paranoia, sino higiene necesaria. Teniendo en cuenta que en la primera mitad de 2026 los proyectos cripto ya perdieron alrededor de $1,1 mil millones debido a hackeos, y el número de exploits fue récord, la industria debe actuar de manera proactiva, no reaccionar a posteriori.