Un exploit en monederos Coldcard habría robado 111 millones de dólares en Bitcoin; detectados más de 25 patrones de ataque

El alcance del exploit asociado a Coldcard sería mayor de lo estimado inicialmente. Investigadores han confirmado el robo de al menos 1.719 Bitcoin (BTC), equivalentes a unos 111 millones de dólares, según datos de Galaxy Research. La firma señala que todavía está validando más casos y estima que las pérdidas totales probablemente superen los 130 millones de dólares. Si se confirman los episodios sospechosos aún no verificados de su lista, el total podría rebasar los 2.300 BTC. El incidente se habría originado en un fallo que afectaba a determinados monederos Coldcard que utilizaban firmware publicado después del 17 de marzo de 2021. La vulnerabilidad podría haber impactado en la seguridad o en el proceso de generación de la seed. Al actuar esta seed como clave maestra del monedero de BTC, los atacantes que lograron reconstruirla habrían podido acceder a los fondos sin necesidad de comprometer físicamente el dispositivo. El factor temporal del firmware es clave: los investigadores no han encontrado BTC sustraídos en monederos creados antes de esa fecha. También han identificado más de 25 patrones de ataque repartidos en tres oleadas, lo que apunta a la participación de varios actores. Hasta el momento, más de 250 víctimas han reportado pérdidas, aunque el número de direcciones afectadas podría ser superior, ya que una misma víctima puede haber usado varios monederos. Galaxy Research añade que no todos los monederos Coldcard estuvieron expuestos; los modelos Mk3, Mk4, Mk5 y Q aparecen como vulnerables cuando ejecutaban firmware posterior al 17 de marzo de 2021. El exploit se habría activado el 30 de julio. En ese episodio, un atacante drenó alrededor de 594 BTC —unos 38 millones de dólares— de 500 monederos en un intervalo de 15 a 25 minutos, generando inquietud en la comunidad. La red principal de Bitcoin no se vio afectada. Resumen: Galaxy Research ha detectado más de 25 patrones de ataque en tres oleadas. Si se confirman los casos en revisión, las pérdidas podrían superar los 2.300 BTC.