Un fallo en el firmware de los monederos de hardware Coldcard, presente desde marzo de 2021, permitió a un atacante reconstruir claves privadas sin conexión y vaciar aproximadamente $70 millones en bitcoin de 1.196 direcciones en unos 41 minutos el 30 de julio. El análisis de Galaxy Research revisó al alza la cifra inicial on-chain de 594 BTC (unos $38M) drenados de unos 500 monederos y señaló que muchas de las direcciones afectadas llevaban años inactivas. Coinkite, fabricante de Coldcard, ha reconocido el fallo y ha distribuido parches de emergencia para el firmware, pero advierte de que actualizarlo por sí solo no protege una semilla vulnerable ya generada. Se recomienda a los usuarios crear semillas completamente nuevas en dispositivos parcheados y migrar los fondos con cuidado.
Por qué importa
El ataque pone en entredicho la forma en que los usuarios de criptomonedas han entendido durante años la autocustodia. Los monederos de hardware suelen considerarse la opción más sólida para usuarios minoristas que buscan almacenamiento en frío, bajo la premisa de que el aislamiento físico mantiene las claves a salvo de ataques remotos. El caso de Coldcard demuestra que esa premisa es incompleta: un único fallo en la entropía de generación de semillas, que pasó inadvertido durante más de cuatro años, bastó para drenar activos por valor de nueve cifras sin que se tocara ningún dispositivo. El fundador de Binance, Changpeng Zhao, reflejó este cambio de perspectiva el sábado al escribir que «incluso los monederos de hardware pueden tener fallos» y recomendar a los usuarios repartir sus fondos entre varios monederos, aunque reconoció que diversificar también conlleva su propia carga de gestión de claves.
Impacto en el mercado
El exploit reaviva un antiguo debate sobre el techo práctico de la autocustodia en un solo dispositivo para quienes manejan saldos importantes de BTC. La cifra sitúa a Coldcard junto a otros incidentes destacados de monederos de hardware y recuerda que una larga trayectoria comercial no garantiza una generación segura de semillas. Habrá que observar si los fabricantes rivales de monederos de hardware, Trezor y Ledger, registran una demanda adicional por parte de usuarios que abandonen Coldcard, y si las indicaciones de Coinkite para migrar los fondos se siguen con suficiente rigor como para evitar un nuevo drenaje de fondos vinculados a semillas vulnerables que aún permanecen en dispositivos parcheados.
Preguntas frecuentes
-
¿Qué ocurrió en el exploit de Coldcard?
Un fallo del firmware que se remontaba a marzo de 2021 debilitó la aleatoriedad de la generación de semillas en ciertos modelos de Coldcard. Un atacante pudo reconstruir las claves privadas sin conexión y drenar aproximadamente $70M en BTC de 1.196 direcciones en unos 41 minutos el 30 de julio.
-
¿Cuánto bitcoin se robó en el hackeo de Coldcard?
Los primeros informes on-chain señalaron unos 594 BTC ($38M). Galaxy Research elevó después la cifra a 1.082,65 BTC, aproximadamente $70M en ese momento, sustraídos de 1.196 direcciones.
-
¿Qué les pide Coinkite a los usuarios de Coldcard?
Coinkite ha publicado actualizaciones de emergencia del firmware y pide a los usuarios que generaron semillas en versiones afectadas que creen semillas completamente nuevas en dispositivos parcheados y migren los fondos con cuidado. Actualizar el firmware por sí solo no protege una semilla vulnerable ya creada.
-
¿Qué dijo CZ sobre el exploit de Coldcard?
El fundador de Binance, Changpeng Zhao, publicó en X que incluso los monederos de hardware pueden tener fallos y sugirió repartir los fondos entre varios monederos como medida de mitigación, aunque señaló que diversificar introduce sus propios riesgos de gestión de claves.
-
¿Significa el exploit de Coldcard que los monederos de hardware no son seguros?
El caso demuestra que los monederos de hardware consolidados pueden albergar fallos de generación de semillas no detectados durante años. No invalida la seguridad de los monederos de hardware en general, pero orienta a los usuarios con grandes saldos hacia estrategias con varios monederos y varios fabricantes.
CryptoSlate
TheBlock
CoinTelegraph
Lookonchain
WuBlockchain