Las pérdidas por el hackeo de Coldcard superan los 111 millones de dólares por una vulnerabilidad de firmware

Las carteras de hardware se han vendido durante años con una promesa sencilla: mantener las claves fuera de línea para proteger el Bitcoin. Esa premisa acaba de sufrir un golpe severo. Una vulnerabilidad en el firmware de los monederos Coldcard, fabricados por Coinkite, permitió a atacantes vaciar entre 1.596 y 1.719 BTC de miles de direcciones, con pérdidas estimadas entre 100 y 111 millones de dólares. Una presunta cuarta oleada detectada en torno al 3 de agosto elevó el total en unos 389 BTC. Alex Thorn, del equipo de análisis onchain de Galaxy Digital, confirmó los hallazgos mediante forensia en cadena. El elemento que hace especialmente duro este incidente: las víctimas habrían seguido las recomendaciones habituales de seguridad. Sin phishing, sin filtración de claves, sin error del usuario. El fallo estaba en el propio firmware. Un fallo gestado durante cinco años El origen se sitúa en una única versión. Coldcard 4.0.1, publicada el 17 de marzo de 2021, introdujo un error en el generador de números aleatorios del dispositivo que provocaba semillas con una entropía muy inferior a la esperada. Algunas semillas afectadas llegaron a contar con apenas unos 40 bits de entropía. En términos prácticos, una cartera de Bitcoin bien protegida debería ser imposible de adivinar por fuerza bruta. En estos casos no lo era. Los atacantes emplearon herramientas de fuerza bruta de código abierto para reconstruir semillas vulnerables y retirar los fondos de las carteras bajo su control. El problema pasó inadvertido durante más de cinco años. Coinkite divulgó la vulnerabilidad el 30 de julio de 2026 y al día siguiente se publicó un firmware corregido. La actualización no recupera los fondos sustraídos ni corrige semillas generadas con versiones vulnerables: los usuarios afectados deben crear semillas completamente nuevas con el firmware actualizado y transferir todo a nuevas direcciones. El análisis de Galaxy identifica al menos 15 atacantes distintos operando en, como mínimo, tres oleadas de robo confirmadas, con unos 7.300 monederos objetivo. A 7 de agosto, el Bitcoin robado confirmado había alcanzado los 1.719 BTC. Algunas estimaciones sitúan las pérdidas potenciales por encima de 130 millones de dólares al incluir actividad adicional sospechosa. Lo que muestran los datos onchain Uno de los hallazgos más llamativos del informe de Galaxy es que la mayor parte de los fondos robados permanece sin gastar en cadena. Los atacantes han movido el Bitcoin, pero todavía no lo han convertido ni fragmentado siguiendo patrones típicos de blanqueo, al menos por ahora. También destaca la secuencia de oleadas: tres confirmadas y una cuarta presunta, un patrón que apunta a una explotación coordinada más que a un actor aislado que descubra el fallo por casualidad. La identificación de al menos 15 atacantes sugiere que la vulnerabilidad se conocía, se compartió o se comercializó dentro de un grupo antes de su divulgación pública. Implicaciones para la autocustodia y la seguridad del hardware Coldcard se había ganado reputación como uno de los monederos de hardware más enfocados en seguridad. Su base de usuarios tiende a ser técnicamente sofisticada y partidaria de la autocustodia frente a dejar fondos en exchanges. La ironía es evidente: quienes más se esforzaban por controlar sus propias claves quedaron expuestos por un fallo en la herramienta en la que confiaban. Para quienes mantengan fondos en cualquier dispositivo Coldcard con firmware a partir de la versión 4.0.1, la recomendación es inmediata: actualizar el firmware y migrar los fondos a una semilla recién generada. Posponerlo eleva el riesgo, especialmente si se producen nuevas oleadas. La posible cuarta oleada señalada el 3 de agosto indica que el intervalo de explotación podría seguir abierto para direcciones afectadas que aún no hayan sido vaciadas.