Exploit del bug de semilla en COLDCARD: 1.159 BTC inmovilizados y 64 BTC enviados a un mezclador

La explotación de una vulnerabilidad en COLDCARD sigue dejando huella en la cadena de bloques. El mayor atacante identificado mantiene 1.159 BTC repartidos en siete direcciones sin moverlos, mientras otro actor ha empezado a canalizar importes menores a través de un mezclador, lo que abre una nueva línea de seguimiento para los investigadores. Movimiento onchain y situación de los fondos Según el monitoreo onchain de Galaxy Research, el mayor robo conocido (1.159 BTC) se concentró en siete direcciones en un lapso de unos 41 minutos. Desde entonces, esos saldos permanecen intactos. No se han observado envíos desde ese conjunto hacia exchanges, mezcladores ni servicios habituales de salida a efectivo. Técnicamente, esos bitcoin no están "congelados": el protocolo no bloquea transacciones por el simple hecho de que una dirección haya sido marcada. Aun así, convertir esos fondos a fiat o moverlos por servicios regulados elevaría la probabilidad de activar controles AML/KYC. Fuerzas de seguridad, exchanges y firmas de analítica han señalado alrededor de 600 direcciones vinculadas al robo en sentido amplio, lo que incrementa el riesgo de que cualquier depósito en una plataforma cumplidora sea objeto de escrutinio. Nueva actividad en mezcladores Por separado, analistas rastrearon un flujo de 64 BTC hacia una transacción asociada a un mezclador. Aproximadamente 10 BTC se mezclaron de inmediato; cerca de 54 BTC volvieron como "cambio" y se dividieron en salidas de alrededor de 7 BTC para continuar el proceso. Los mezcladores buscan ocultar el origen recombinando y reestructurando transacciones, aunque no garantizan anonimato. En este caso, las salidas relativamente grandes y uniformes facilitan identificar el patrón, por lo que los investigadores pueden seguir monitorizando los siguientes saltos. Varios atacantes, varios clústeres Esta actividad en el mezclador no parece relacionada con el clúster de siete direcciones que retiene 1.159 BTC. Informaciones previas apuntaban a que varios atacantes podrían haber explotado el mismo fallo en la generación de semillas de COLDCARD, por lo que no conviene asumir que la actividad de un clúster corresponda al mismo actor. Galaxy Research había confirmado previamente el robo de unos 1.596 BTC en tres oleadas desde alrededor de 7.300 direcciones y detectó 14 incidentes relacionados de menor tamaño. Una supuesta cuarta oleada podría elevar el total hasta cerca de 2.055 BTC, aunque ese incremento aún no se ha verificado por completo con reportes de víctimas. Cómo funcionó el exploit y sus consecuencias La vulnerabilidad se originó en un bug de firmware que debilitaba la aleatoriedad al generar frases semilla. Los atacantes podían recrear semillas candidatas fuera de línea, derivar direcciones y cotejarlas con direcciones activas onchain, sin acceso al dispositivo, sin PIN y sin comprometer el protocolo. Coinkite ha publicado un firmware corregido. Aun así, actualizar el dispositivo no soluciona una semilla creada con una versión vulnerable: los usuarios afectados deben generar una nueva semilla y transferir los fondos a direcciones derivadas de esa nueva semilla para volver a estar seguros. Perspectivas de actuación y recuperación Galaxy compartió direcciones confirmadas de atacantes y víctimas con fuerzas de seguridad de EE. UU., exchanges y grupos de ciberinvestigación. La ampliación del listado de direcciones mejora la capacidad de detectar intentos de hacer circular las monedas por canales regulados. Pese a ello, la recuperación no está garantizada: los atacantes pueden mover fondos por múltiples direcciones, mezcladores, plataformas descentralizadas o jurisdicciones fuera del alcance de EE. UU. antes de intentar materializar ganancias. Conclusión El mayor atacante conocido vinculado a COLDCARD mantiene 1.159 BTC inmóviles desde el barrido inicial, quedando expuestos a vigilancia pública continua. Al mismo tiempo, la reciente actividad en mezcladores atribuida a otro actor ha generado un rastro que los investigadores seguirán de cerca a medida que evolucione el caso.