El mayor golpe a la autocustodia: el hackeo de Coldcard resultó en la pérdida de más de 1700 BTC
Una campaña masiva contra los propietarios de monederos hardware Coldcard ha provocado el robo confirmado de al menos 1778,84 BTC, equivalente a 112,7 millones de dólares. El monitoreo muestra que después del 6 de agosto no se han registrado nuevos hackeos exitosos, sin embargo, esto no reduce la gravedad del incidente para todo el ecosistema.
Ataque a Coldcard
Durante la investigación logré establecer contacto directo con 190 víctimas, y se ha confirmado el vaciado de más de 8600 direcciones. El daño real es probablemente mayor: teniendo en cuenta episodios no confirmados, las pérdidas alcanzan los 2417,35 BTC, o aproximadamente 153 millones de dólares. El ataque comenzó la mañana del 30 de julio de 2026, cuando los atacantes comenzaron a recuperar sistemáticamente las frases semilla generadas por dispositivos vulnerables.
La raíz del problema está en la actualización del firmware de Coinkite en 2021. El cambio en el mecanismo de generación de entropía criptográfica provocó un error crítico: el generador de números aleatorios funcionaba incorrectamente, y los dispositivos cambiaban imperceptiblemente a una fuente de entropía insuficiente para proteger las claves privadas. El defecto pasó desapercibido durante años, pero con suficiente potencia computacional los atacantes pudieron reproducir las claves.
Cese de ataques y nuevas amenazas
La última cadena confirmada de hackeos data del 6 de agosto. Al parecer, los ataques cesaron o bien porque las víctimas transfirieron sus fondos a nuevas direcciones, o porque los activos disponibles ya se han agotado. No obstante, recomiendo encarecidamente a todos aquellos que aún mantienen bitcoins en Coldcard de firma única que migren inmediatamente a nuevas direcciones. Es importante señalar: esto no es obra de un solo hacker — he detectado al menos 33 rastros de actividad separados, lo que indica el uso simultáneo de la vulnerabilidad por varios grupos.
Destino de los fondos robados
De los 1778 BTC confirmados, aproximadamente 1531 BTC permanecen en direcciones de los atacantes, y alrededor de 246 BTC ya han sido movidos. Una parte significativa — el 65% — ha pasado por transacciones CoinJoin, dificultando seriamente el rastreo. Otro 35% se mueve mediante esquemas Peel Chain, el método clásico de lavado. Parte de los fondos ha sido detectada en exchanges centralizados y puentes entre cadenas; ya he entregado las listas de direcciones a exchanges, empresas de cumplimiento y autoridades.
Golpe al paradigma de la autocustodia
El incidente golpea la propia idea de la custodia personal. Las víctimas no son usuarios descuidados, sino aquellos que abordaron la seguridad con la máxima responsabilidad: sin exchanges dudosos, protocolos DeFi arriesgados o herramientas de moda. Confiaron en los monederos hardware como el estándar de oro. La reacción del mercado es reveladora: en los primeros cuatro días de ataques, más de 22 000 BTC llegaron a los exchanges, y para el 8 de agosto los saldos alcanzaron un máximo histórico de 3,683 millones de BTC.
La multifirma como solución
Es revelador que ningún robo confirmado haya afectado direcciones multisig. Los servicios Casa y Anchorwatch registran un fuerte aumento de clientes, y Dhruv Bansal de Unchained señala acertadamente: el problema no está en las soluciones de custodia versus no custodia, sino en el punto único de fallo — ya sea un exchange, un fabricante o el propio usuario. El incidente obliga a replantear el enfoque: la distribución del riesgo entre varias claves y componentes independientes se convierte no en un lujo, sino en una necesidad.
La IA como factor de escalada
Especialmente preocupante es el probable uso de IA por parte de los atacantes. Creo que algunos grupos utilizaron LLM chinos abiertos sin restricciones en materia de ciberseguridad. La ironía es que los investigadores de Bitcoin Red Team, que prueban el ecosistema en busca de vulnerabilidades, se enfrentan a lo contrario: las restricciones de las empresas de IA estadounidenses les impiden utilizar los modelos más potentes para la defensa. Esto subraya la naturaleza dual de la IA: las capacidades de explotar errores están disponibles no solo para los defensores, sino también para los atacantes.
Mi veredicto: este incidente no es simplemente un fallo técnico, sino un desafío sistémico. En el contexto de las pérdidas récord de 1.100 millones de dólares por hackeos en el primer semestre de 2026, debería convertirse en un catalizador para revisar los estándares de seguridad en la industria. La autocustodia no muere, pero está obligada a evolucionar hacia la multifirma y la diversificación de riesgos.