Confirmado el exploit de Coldcard: 1.719 BTC robados y las pérdidas podrían superar los 130 millones de dólares

El alcance del fallo explotado en los monederos físicos Coldcard empieza a cuantificarse con más precisión. Galaxy Research afirma, con un alto grado de confianza, que al menos 1.719 BTC han sido sustraídos de múltiples cuentas de usuarios, un impacto que ronda los 111 millones de dólares a precios recientes. La cifra podría quedarse corta: según la última evaluación del equipo, citada en el informe original, las pérdidas totales probablemente rebasarán los 130 millones de dólares cuando se verifiquen los casos pendientes. Los investigadores han identificado más de 25 patrones de ataque distintos y creen que hay varios actores maliciosos explotando activamente la vulnerabilidad. El número de afectados sigue creciendo: Galaxy asegura haber recibido avisos de más de 250 personas. Si finalmente se confirman todos los expedientes, el botín podría superar los 2.300 BTC. Por ahora, el hardware afectado se limita a Coldcard Mk3, Mk4, Mk5 y el modelo Q. No hay indicios de propagación a otros dispositivos de firma o monederos, y Galaxy no ha señalado compromisos en software o firmware ajenos al ecosistema de Coldcard. Un golpe a la cultura de la autocustodia El episodio sacude uno de los pilares de la autocustodia. Coldcard se considera de forma generalizada uno de los monederos de hardware de Bitcoin más seguros, diseñado para un uso airgapped y un almacenamiento de "grado paranoico". Que haya sido vulnerado a esta escala, con lo que parece una ventana de explotación prolongada, erosiona la confianza de quienes han llegado a concentrar gran parte de su patrimonio en el dispositivo. La incidencia también llega en un momento político delicado en Estados Unidos. A pocos días de una votación clave en el Senado sobre legislación cripto de gran calado —mencionada en nuestra cobertura sobre cómo los bancos intentan reconfigurar el texto—, un ataque de esta magnitud ofrece munición a quienes se oponen a reglas más permisivas para la autocustodia. Durante años, los monederos de hardware se han presentado como la defensa definitiva frente a hackeos, aunque siguen expuestos a riesgos de cadena de suministro, manipulación de firmware y ataques físicos por canal lateral. En este caso, ni Coinkite ni Galaxy han detallado públicamente el vector de entrada. La variedad de patrones sugiere que no se trata de un único fallo. Entre las hipótesis encajan un generador de números aleatorios mal configurado, un componente comprometido en la cadena de suministro o una debilidad en los protocolos de comunicación del dispositivo. Para los usuarios que han perdido fondos, el problema se agrava por la propia naturaleza de Bitcoin: la inmutabilidad de la red hace que la recuperación sea prácticamente imposible. Qué viene ahora para las víctimas y el mercado Con más de 250 víctimas identificadas, aumentan las consecuencias legales y reputacionales para Coinkite, fabricante de Coldcard. La compañía aún no ha publicado un análisis técnico exhaustivo y el mercado espera saber si es viable un parche para el hardware existente o si serán necesarios reemplazos. Aunque, por el momento, la afectación parece circunscrita a la gama Coldcard, la presencia de atacantes independientes apunta a que la vulnerabilidad pudo ser conocida en determinados círculos antes de hacerse pública. Eso abre una posibilidad incómoda: que el exploit se descubriera y se comercializara de forma privada, y que solo se convirtiera en noticia cuando las pérdidas se dispararon. Desde la óptica institucional, el caso empujará a fondos y grandes tenedores a revisar con más rigor sus decisiones de custodia. Podrían ganar tracción de nuevo los esquemas multisig y las soluciones de almacenamiento en frío con custodios. También reaparece el debate sobre el seguro: la mayoría de usuarios en autocustodia no cuenta con cobertura, mientras que los custodios regulados suelen incluir pólizas en su oferta. La cifra de más de 130 millones de dólares, aunque pequeña frente a la capitalización total de Bitcoin, es suficiente para atraer atención regulatoria justo cuando los legisladores discuten cómo clasificar y supervisar a los proveedores de monederos. Persisten las incógnitas Quedan preguntas relevantes abiertas. El informe de Galaxy no aclara cómo los atacantes lograron exfiltrar claves privadas o firmar transacciones sin acceso físico a los dispositivos. Una posibilidad es que el fallo permitiera a un agresor con acceso temporal —por ejemplo, durante el envío o a través de un distribuidor comprometido— vaciar fondos más tarde sin necesidad de mantener ese acceso. El hecho de que existan más de 25 patrones sugiere el uso de técnicas variadas. Tampoco puede descartarse que parte de las víctimas instalara sin saberlo actualizaciones de firmware maliciosas procedentes de fuentes no oficiales. La comunidad evalúa ahora si la marca Coldcard puede recuperar su reputación. En seguridad de monederos físicos, la confianza pesa tanto como el diseño criptográfico. Cuando se rompe a una escala de miles de monedas, el camino de vuelta es largo. A la vez, otros fabricantes probablemente aprovecharán el episodio para posicionar sus propios dispositivos como superiores. La lección para el sector es clara: la autocustodia exige vigilancia constante y ningún dispositivo debe considerarse un escudo infalible.