La división de investigación de Galaxy estima ahora que los robos de bitcoin confirmados vinculados a la billetera hardware Coldcard han superado los 100 millones de dólares, distribuidos en tres oleadas de ataque distintas. La cifra representa un aumento significativo en lo que se ha convertido en uno de los incidentes de seguridad de autocustodia más vigilados del año, y subraya una realidad incómoda para la comunidad de bitcoin: incluso los dispositivos específicamente diseñados para el almacenamiento offline de claves pueden albergar debilidades explotables.

Estimaciones revisadas de Galaxy

Según los informes sobre las conclusiones de la empresa, el brazo de investigación de Galaxy clasifica las pérdidas confirmadas en tres oleadas de ataque separadas en lugar de un único exploit continuo. El total de 100 millones de dólares representa un aumento significativo respecto al análisis anterior de Galaxy, que había elevado la estimación de pérdidas de Coldcard a 70 millones de dólares a medida que se identificaban y rastreaban más billeletas afectadas.

Galaxy establece una distinción clara entre los robos confirmados y un grupo más amplio de pérdidas sospechosas que permanecen sin cuantificar. La cifra revisada refleja únicamente casos verificados, no el alcance completo de los usuarios potencialmente afectados.

La importancia para los tenedores de bitcoin es sustancial. Coldcard, fabricada por Coinkite, es un dispositivo de almacenamiento en frío ampliamente adoptado y comercializado específicamente para la seguridad de autocustodia. Su atractivo siempre se ha basado en su diseño air-gapped: el dispositivo está construido para operar sin una conexión directa a internet, una característica diseñada para minimizar la exposición a ataques remotos. Una pérdida confirmada de nueve cifras concentrada en una única línea de productos hardware plantea preguntas urgentes sobre cómo se produjeron las vulneraciones y si los usuarios adicionales siguen en riesgo. Las billeteras hardware de fabricantes como Coldcard, Ledger y Trezor han sido ampliamente promocionadas como el estándar de oro para la autocustodia en los años posteriores a los grandes fallos de exchanges como Mt. Gox y FTX, que erosionaron la confianza en las plataformas centralizadas, lo que hace que este incidente sea particularmente trascendental para la narrativa de autocustodia en general.

Tres oleadas de ataque y la vulnerabilidad en la generación de semillas

El análisis de Galaxy agrupa los robos confirmados en tres oleadas, aunque el informe no especifica fechas precisas, el orden cronológico ni los distintos métodos de ataque detrás de cada oleada individual.

Un hilo común que conecta los incidentes involucra la generación de semillas. Coinkite ha publicado una advertencia relacionada con la generación de semillas Mk3: el proceso mediante el cual se crea la frase de recuperación de una billetera. La frase semilla de una billetera funciona como su clave maestra: cualquiera que pueda reconstruirla o predecirla obtiene control total sobre los fondos asociados. Una debilidad en la generación de semillas puede permitir potencialmente a un atacante reconstruir las claves criptográficas que protegen los fondos de un usuario sin necesidad de acceso físico al dispositivo ni de ninguna interacción de phishing con el usuario.

Lo que permanece sin especificar es cómo cada una de las tres oleadas se relaciona con métodos específicos, momentos o grupos de atacantes. Estos mecanismos no se detallan en la evidencia disponible y no deben inferirse más allá de lo que Galaxy y Coinkite han declarado oficialmente.

Reacción del mercado y respuesta de la industria

El incidente ya ha producido efectos observables en el comportamiento del mercado. CoinDesk informó que, a diferencia del colapso de FTX, que llevó a los inversores a retirar bitcoin de los exchanges, el exploit de Coldcard provocó que algunos inversores enviaran bitcoin de vuelta a los exchanges, invirtiendo la narrativa habitual de autocustodia. Esta inversión es notable porque refleja un cambio en cómo algunos usuarios están sopesando los riesgos relativos de la autocustodia frente a la custodia en exchanges. CoinDesk centró su cobertura en una cifra de 88 millones de dólares para el exploit.

Galaxy también ha tomado medidas concretas más allá de su análisis de investigación, lanzando un fondo de seguridad de bitcoin de 5 millones de dólares vinculado al episodio.

Implicaciones para la seguridad del dispositivo frente al error del usuario

Una distinción crítica en este incidente es el aparente vínculo entre las pérdidas confirmadas y la forma en que se generaron las claves en el propio dispositivo, en lugar de ataques de phishing individuales o un manejo negligente de las claves por parte de los usuarios. Esto dirige la responsabilidad hacia el proceso de hardware y firmware más que al error del usuario por sí solo, una distinción que tiene un peso significativo en cómo la industria de las billeteras hardware y sus clientes evalúan y responden al riesgo.

Para los usuarios actuales o potenciales de Coldcard, la guía práctica se centra en la advertencia sobre la generación de semillas. Los usuarios que dependen de dispositivos potencialmente afectados deben seguir las recomendaciones oficiales de Coinkite sobre verificación o regeneración de sus billeteras.

La escala de las pérdidas confirmadas (un total de nueve cifras concentrado en una línea de billeteras hardware y distribuido en tres oleadas separadas) sitúa este incidente entre los eventos de seguridad de autocustodia más trascendentales documentados este año, y se suma al escrutinio continuo sobre las prácticas de generación de semillas en todo el ecosistema de billeteras hardware.

Este artículo es únicamente informativo y no constituye asesoramiento financiero ni de inversión.