Un fallo en la generación de semillas de la Coldcard se vincula con el robo de hasta 130 millones de dólares en bitcoin

El diseño sin conexión de una cartera hardware protege frente a ataques que requieren acceder al dispositivo por red. No sirve si el problema está en el propio proceso de creación de la semilla. Eso es lo que, según la investigación citada por The Hacker News (publicada el 1 de agosto de 2026 a partir de un análisis de Block), habría afectado a usuarios de la cartera de bitcoin Coldcard: los atacantes no tocaron los dispositivos, sino que reconstruyeron posibles frases semilla fuera de línea y las contrastaron con datos públicos de la cadena. El origen se sitúa en un error de configuración de producción que se remontaría a marzo de 2021. En el firmware se definió el macro MICROPY_HW_ENABLE_RNG con valor cero porque Coinkite aporta su propio "wrapper" de generador hardware, pero la librería libngu solo comprobaba si el macro existía, no si estaba activado, según The Hacker News. Como resultado, algunos "builds" quedaron ligados al generador alternativo Yasmarang de MicroPython, inicializado con el ID único del chip y registros del temporizador, sin incorporar aleatoriedad adicional después. Coinkite estima que la entropía efectiva habría quedado en torno a 40 bits en el modelo Mk3 y cerca de 72 bits en los Mk4, Mk5 y Q, frente a los 128 bits que debería aportar una semilla BIP39 estándar de 12 palabras, de acuerdo con The Hacker News. Block no publicó un "benchmark" práctico de fuerza bruta; en su lugar planteó techos condicionales y advirtió de que incluso el valor superior no equivale a una fortaleza criptográfica real de 73 bits, siempre según ese medio. Ningún informe público revisado en esta cobertura afirma haber reconstruido la semilla de una víctima concreta y vincularla a una dirección vaciada. Por qué estar "offline" no bastó El caso difiere del modelo mental habitual de muchos compradores: la Coldcard no necesitó conectarse a internet, y aun así el ataque fue posible. La debilidad residía en el código que generó la semilla el día de su creación. Block concluyó que, si un atacante logra acotar el ID único del dispositivo, el estado del temporizador y llamadas previas al generador, puede producir flujos de semillas candidatas y validarlos completamente fuera de línea, comparando contra información de la blockchain visible para cualquiera, según The Hacker News. Ni la caja fuerte ni el lugar de custodia del dispositivo formaron parte de la superficie de ataque. Rastreo "on-chain" y cifras en movimiento Galaxy Research trazó un barrido de 1.196 direcciones de bitcoin completado en 41 minutos el 30 de julio de 2026, moviendo 1.082,65 BTC (unos 70,2 millones de dólares entonces), según The Hacker News. Galaxy indicó que no había encontrado otras transacciones en los 30 días previos con la misma tasa de comisión y firma sin "change", y avisó de que el patrón identifica al operador, pero no prueba por sí solo un robo, porque un barrido puede parecerse a un movimiento voluntario de fondos. Más tarde, Galaxy detectó dos oleadas adicionales sospechosas y elevó el total observado a 1.367,05 BTC (unos 88,6 millones de dólares) repartidos en 4.585 direcciones, según The Hacker News. La firma matizó que una oleada posterior no debe asumirse como atribuible al mismo operador que las dos primeras y que no ha confirmado computacionalmente que todas las direcciones marcadas provengan del fallo de baja entropía. Hardware y software: el mismo eslabón débil, otra capa de confianza El problema de Coldcard (aleatoriedad insuficiente al generar claves) no es exclusivo del hardware. The Hacker News también informó de una investigación separada de Coinspect, denominada Ill Bloom, que halló un fallo de PRNG débil en carteras software antiguas vinculado a más de 5 millones de dólares drenados desde mayo en direcciones de Bitcoin, Ethereum, Tron, Rootstock y Polygon. El medio los presenta como incidentes distintos, no como un único bug, pero ambos apuntan a lo mismo: el número aleatorio que alimenta la generación de claves es el punto crítico, ya sea en un dispositivo dedicado o en una app. Aparte, el firmware introduce un riesgo diferente al de la entropía: es código controlado por el fabricante y actualizado periódicamente, y el usuario normalmente no puede auditar por completo cada versión antes de instalarla. Cointelegraph, en un resumen citado en el material base, calificó las actualizaciones de firmware como "el vector de ataque perfecto" para obtener acceso encubierto a claves privadas y mencionó como antecedente una vulnerabilidad de Ledger de 2018. Esa hipótesis describe un modo de fallo distinto al de Coldcard: aquí se trataría de un error no intencionado introducido una vez en 2021, no de una actualización alterada deliberadamente, y no hay evidencia en esta cobertura que conecte ambos escenarios. El parche no borra el pasado Coinkite distribuyó firmware de emergencia para todos los modelos y ramas afectadas el 31 de julio de 2026, según The Hacker News. Ese mismo día, CoinDesk citó una carta abierta del CEO NVK instando a los usuarios a "mover sus fondos ahora" siguiendo nuevas pautas. La actualización evita que nuevas semillas hereden el fallo, pero no corrige una semilla ya creada bajo firmware vulnerable. Restaurar esa semilla antigua en un firmware parcheado o en otra cartera mantiene la debilidad, de acuerdo con The Hacker News y CoinDesk. El riesgo depende de la versión instalada cuando se generó la semilla, no de la versión que se use hoy. Rangos de versiones señalados Coinkite enumera como afectados en Mk3 los firmwares 4.0.1 a 4.1.9 (corregido en 4.2.0) y no menciona el Mk2; Block, según The Hacker News, sitúa en la ruta vulnerable tanto Mk2 como Mk3 con versiones 4.0.0 a 4.1.9. Para Mk4 y Mk5, cualquier versión anterior a 5.6.0 estaría afectada; para Q, cualquier versión anterior a 1.5.0Q. También figuran como vulnerables los "edge builds" anteriores a 6.6.0X (Mk4/Mk5) o 6.6.0QX (Q), según el mismo medio. Coinkite sostiene que una semilla generada con al menos 50 tiradas de dado justas, independientes y privadas no estaría en riesgo por este bug. Si no se conoce con certeza el número o la privacidad de esas tiradas, recomienda migrar igualmente. Una passphrase BIP39 fuerte y única crea una cartera separada a la que no se llega solo con las palabras, aunque la empresa también aconseja reemplazar la semilla subyacente. En configuraciones multisig, la protección solo existe si el quórum de firma no está compuesto íntegramente por dispositivos afectados. Productos como TAPSIGNER, OPENDIME y SATSCARD usan bases de código distintas y no se verían impactados, según The Hacker News. ¿Cuánto se perdió realmente? Al tratarse de un seguimiento "on-chain" en curso, distintos medios publicaron totales diferentes en fechas distintas. Ninguna cifra equivale a una cuantificación final auditada: - 31 de julio de 2026: 38 millones de dólares (CoinDesk). - 1 de agosto de 2026 (barrido inicial): 1.082,65 BTC (~70,2 millones de dólares), citando a Galaxy Research (The Hacker News). - Actualización sin fecha dentro del mismo reportaje: 1.367,05 BTC (~88,6 millones de dólares) en 4.585 direcciones, citando a Galaxy Research (The Hacker News). - Más de 100 millones de dólares (Bloomberg), sin fecha de publicación en el material disponible. - 4 de agosto de 2026 ("a fecha del martes"): alrededor de 130 millones de dólares, citando a Galaxy Research (TechCrunch); el cofundador y jefe científico de Elliptic, Tom Robinson, lo habría corroborado verbalmente como aproximadamente correcto. Como referencia sectorial, TechCrunch citó a TRM Labs: en 2026 se habían producido ya más de 200 hackeos contra empresas cripto, con pérdidas totales superiores a 950 millones de dólares (un dato agregado de la industria, no de Coldcard). Un caso individual, el de Jonathan Goodman, afirmó en X haber perdido 1,6 millones de dólares desde una Coldcard sin haber compartido su frase semilla ni conectar los dispositivos a internet; es una declaración autocontenida y no verificada en el material empleado. Límites de lo que puede afirmarse con estas fuentes No es posible fijar una cifra final de pérdidas: todos los importes son instantáneas fechadas de una investigación que Galaxy Research describió como aún abierta. Tampoco se puede ubicar con precisión el dato de Bloomberg en la cronología por falta de fecha en la evidencia disponible. No hay verificación independiente del caso de Goodman. The Hacker News trata Ill Bloom y el fallo de Coldcard como incidentes distintos y no documenta una relación técnica. La mención de Cointelegraph sobre actualizaciones de firmware se basa en un resumen y un extracto, aborda un riesgo diferente (actualización comprometida) y no está corroborada por otras fuentes en este conjunto. Ningún medio citado identifica a los atacantes, y Galaxy advirtió de no atribuir automáticamente oleadas posteriores al mismo operador. Además, no se dispone aquí de documentos primarios (avisos de Coinkite, el paper de Block o el informe de Galaxy), solo de coberturas periodísticas que los resumen, por lo que los detalles técnicos citados están a un paso de la fuente original.