Los usuarios del monedero de autocustodia de Bitcoin Coldcard han sufrido pérdidas significativas tras la explotación de una vulnerabilidad de software por parte de grupos de hackers en los últimos días. Las estimaciones de la industria indican que aproximadamente 1,400 a 1,816 bitcoin—valorados en aproximadamente $90 millones a $116 millones—han sido drenados de más de 5,200 monederos afectados. Coldcard, producido por la empresa canadiense Coinkite, es un monedero hardware—un dispositivo físico diseñado para mantener las claves privadas fuera de línea, una categoría ampliamente considerada como una de las formas más seguras de autocustodia. El incidente, por lo tanto, tiene un peso particular, ya que demuestra que incluso el hardware aislado físicamente puede verse comprometido cuando su software interno contiene fallas. El evento representa un contratiempo notable para la autocustodia de Bitcoin, una práctica ampliamente considerada como esencial para la resiliencia y descentralización a largo plazo de la red de Bitcoin.

Sin embargo, según el análisis de Grayscale, varios factores sugieren que el impacto podría estar más contenido de lo que implican los titulares iniciales, y el caso de inversión más amplio para Bitcoin permanece en gran medida sin afectarse.

El protocolo de Bitcoin no fue comprometido

Primero, la blockchain de Bitcoin en sí no fue comprometida. La vulnerabilidad se limitó al software específico del monedero de Coldcard y no afectó la criptografía subyacente ni los mecanismos de consenso de Bitcoin, que nunca han experimentado una brecha de seguridad exitosa y duradera. Esta distinción es crítica: el incidente refleja una falla de software de terceros en lugar de cualquier debilidad fundamental en el protocolo. También subraya una tensión de larga data en el ecosistema cripto: los proveedores de monederos individuales operan de manera independiente al protocolo en sí, lo que significa que la seguridad de los fondos de los usuarios depende en gran medida de las prácticas de ingeniería y los procesos de revisión de código de cada proveedor.

Segundo, la tendencia general en pérdidas por ciberseguridad cripto ha sido a la baja. Los datos de la industria proyectan pérdidas totales de aproximadamente $1.7 mil millones para el año en curso—el total anual más bajo en nueve años y aproximadamente 0.1% de la capitalización de mercado cripto agregada—lo que indica mejores prácticas de seguridad en todo el sector.

Tercero, los inversores que buscan exposición a Bitcoin sin asumir la complejidad y los riesgos de la autocustodia tienen opciones alternativas bien establecidas. Los productos cotizados en bolsa de Bitcoin utilizan arreglos de custodia institucional que típicamente incorporan almacenamiento fuera de línea segregado, monederos multifirma, certificaciones SOC y cobertura de seguro. Estas estructuras pueden resultar atractivas tanto para participantes institucionales como para inversores individuales que prefieren evitar la carga operativa de gestionar claves privadas directamente.

Si bien la blockchain en sí y los activos mantenidos en vehículos combinados permanecen seguros, examinar la mecánica de la brecha y su contexto más amplio es esencial para comprender sus implicaciones para el panorama de custodia.

Causa técnica raíz y progresión del ataque

El incidente se remonta a una actualización de software de 2021 que alteró la forma en que los dispositivos Coldcard generaban las frases de recuperación del monedero. En lugar de emplear una aleatoriedad robusta e impredecible, la actualización introdujo un proceso de acceso directo con patrón para la generación de semillas. Las frases de recuperación—secuencias de palabras que sirven como clave maestra de un monedero—dependen de una aleatoriedad de alta calidad para su seguridad; la especificación BIP39 estándar de la industria requiere suficiente entropía precisamente porque las semillas predecibles pueden ser reproducidas por cualquiera. Una vez que los atacantes identificaron este comportamiento determinista, pudieron replicar el proceso computacionalmente, generar frases de recuperación candidatas a gran escala y compararlas con monederos activos—completamente sin acceso físico al dispositivo, derrotando así el modelo de seguridad fuera de línea sobre el cual se construyen los monederos hardware.

Coinkite ha emitido desde entonces un aviso urgente instando a los usuarios afectados a transferir sus activos inmediatamente.

El ataque se desarrolló en cuatro oleadas distintas a partir del 30 de julio. Los investigadores de blockchain rastrearon el drenaje inicial, en el que más de 1,000 direcciones fueron vaciadas en un lapso de 41 minutos. Un barrido posterior extrajo casi 600 bitcoin en 25 minutos. Oleadas adicionales siguieron durante el fin de semana y hasta el lunes. Los perpetradores permanecen sin identificar, y ningún actor respaldado por el Estado ha sido vinculado a la operación.

Panorama de seguridad más amplio

El incidente ocurre dentro de un panorama más amplio de frecuencia de ataques elevada. Los análisis de blockchain registraron 207 incidentes de seguridad separados en el primer semestre del año—el conteo semestral más alto registrado. Sin embargo, los fondos totales robados cayeron bruscamente a aproximadamente $972 millones, menos de la mitad de los $2.3 mil millones perdidos durante el mismo período en 2025, lo que sugiere que, si bien los ataques se han vuelto más numerosos, las pérdidas promedio por incidente han disminuido.

La brecha ha intensificado el debate en curso entre los tenedores respecto a las ventajas y desventajas entre la autocustodia y los arreglos de terceros. Algunos participantes han indicado un cambio hacia plataformas centralizadas y vehículos institucionales que ofrecen salvaguardas mejoradas, mientras que otros sostienen que el control directo sigue siendo preferible a pesar de la responsabilidad operativa adicional. El incidente también probablemente agudizará el escrutinio sobre cómo los fabricantes de monederos implementan y auditan la aleatoriedad en la generación de semillas—un detalle que es difícil de verificar de manera independiente para los usuarios finales.

La reacción del mercado al evento ha sido moderada, con tanto Bitcoin como Ethereum cayendo menos del uno por ciento desde que el incidente se hizo público.