Más de 1,000 bitcoin, con un valor aproximado de 70 millones de dólares, fueron sustraídos de 1,196 billeteras de hardware Coldcard en un período de 41 minutos el 30 de julio, según un análisis de Galaxy Research. La cifra casi duplica el monto reportado cuando el robo salió a la luz por primera vez.

El incidente se distingue de los robos de criptomonedas típicos porque el atacante nunca necesitó acceso a los dispositivos de las víctimas. Una falla de firmware en ciertas billeteras de hardware Coldcard hizo que las frases semilla, supuestamente imposibles de adivinar, fueran computacionalmente enumerables, lo que permitió al atacante reconstruir claves privadas completamente sin conexión y barrer fondos a gran escala.

Coldcard, fabricada por Coinkite con sede en Toronto, es una billetera de hardware exclusiva para Bitcoin preferida por los defensores de la autocustodia por su diseño aislado (air-gapped) y su firmware de código abierto. Su base de usuarios se inclina hacia quienes priorizan la soberanía sobre sus claves privadas, lo que hace que una falla en la generación de semillas sea particularmente grave para una comunidad que eligió el producto específicamente por su postura de seguridad.

Las empresas de seguridad advierten que más billeteras podrían estar en riesgo porque los propietarios no pueden determinar de manera confiable si sus semillas fueron generadas con un firmware vulnerable. La única remediación confiable es generar una nueva semilla en un dispositivo confirmado que use aleatoriedad adecuada y transferir todos los fondos a direcciones derivadas de esa semilla. Los investigadores están rastreando activamente al atacante a través de registros obtenidos de un proveedor de datos blockchain.

Galaxy Research mapea el evento completo

Galaxy Research publicó el mapeo completo del evento el viernes, y descubrió que 1,082.65 BTC fueron barridos entre las 01:10 y las 01:51 UTC a lo largo de seis bloques. Tres bloques intermedios no contenían transacciones relacionadas, lo que sugiere que las transferencias se emitieron en lotes en lugar de forma continua.

Los fondos obtenidos se encuentran actualmente en cuatro direcciones y no se han movido. Los primeros reportes capturaron solo una de esas direcciones, lo que explica por qué la cifra de pérdida reportada inicialmente ha aumentado desde entonces.

Si bien el valor total robado es menor que el de algunos de los ataques más grandes de este año, el mecanismo en sí es lo que hace que esta explotación sea particularmente significativa.

Por qué la explotación de Coldcard es inusual

La mayoría de los robos de criptomonedas implican alguna forma de acceso directo: se vulnera un exchange, se explota un contrato inteligente o se suplanta una clave privada desde la computadora de un usuario. La defensa principal siempre ha sido la distancia, que es exactamente lo que una billetera de hardware está diseñada para proporcionar. Al mantener la clave en un dispositivo que nunca se conecta a internet, en teoría no hay nada que un atacante pueda alcanzar.

Cuando se crea una billetera, se supone que el dispositivo debe seleccionar un número tan grande e impredecible que adivinarlo sea efectivamente imposible. Ese número sirve como semilla, de la cual se derivan todas las direcciones y claves privadas mediante reglas fijas y de conocimiento público definidas por BIP39 y estándares relacionados.

El firmware de Coldcard estaba diseñado para extraer ese número de un generador de aleatoriedad de hardware dedicado. Sin embargo, una configuración interna de compilación le indicó al dispositivo que omitiera ese generador. Una verificación de validación en una biblioteca de soporte solo comprobaba si la configuración existía, no si estaba realmente activada.

Como resultado, la generación de claves recurrió a un sustituto básico de software basado en el número de serie del chip y sus registros de reloj. El número de serie son metadatos fijos de fábrica, y los valores del reloj son estados de temporización que un atacante puede acotar o medir en un dispositivo propio.

La consecuencia fue que el rango de claves que el dispositivo podía producir se redujo de un espacio inmensamente vasto a uno que era enumerable. Las fallas del generador de números aleatorios han sido una clase de vulnerabilidad recurrente en las criptomonedas: un error de Android Secure Random en 2013 comprometió las claves de billeteras Bitcoin en dispositivos afectados, y debilidades similares han surgido periódicamente en todo el ecosistema desde entonces.

Los equipos de seguridad determinaron que la generación de claves podía enumerarse completamente en los modelos antiguos Mk2 y Mk3. En los modelos Mk4, Q y Mk5, estimaron el rango en aproximadamente cuatro mil millones de posibilidades. Cuatro mil millones es un número grande para un ser humano, pero trivialmente pequeño para una computadora.

Un atacante puede generar semillas candidatas en su propio hardware, derivar las direcciones que cada semilla produciría y verificar esas direcciones en la blockchain pública, que cualquiera puede descargar. Cada paso de este proceso se ejecuta en la máquina del atacante. El dispositivo de la víctima nunca está involucrado y podría estar apagado en una caja fuerte en otro continente.

El análisis de Galaxy confirmó este proceso en acción. De las billeteras drenadas, 1,183 usaban el formato moderno de dirección native segwit, siete usaban un estándar anterior y seis usaban uno aún más antiguo. El hecho de que los fondos fueran atacados simultáneamente en tres formatos de dirección descarta la selección individual de víctimas; apunta a una enumeración sistemática, donde cada semilla candidata se verifica contra cada ruta de derivación que podría haber producido.

El operador puede ampliar la búsqueda, refinarla y regresar en cualquier momento. Galaxy advirtió que es probable que se produzcan nuevas olas de robo si los propietarios afectados no mueven sus fondos.

De manera crítica, no existe ninguna prueba que un propietario pueda ejecutar en su propia billetera para determinar si su semilla se encuentra dentro del rango reproducible. Hasta que el problema se resuelva por completo, cualquiera que haya generado una semilla con un firmware afectado debe asumir lo peor.

Modelos afectados y respuesta del fabricante

Coinkite, fabricante de Coldcard, ha advertido a los propietarios de Mk3 y ha afirmado que sus dispositivos más nuevos no están afectados. Sin embargo, la investigación de Block sitúa los modelos Mk2, Mk4, Q y Mk5 también en el alcance. Esta discrepancia significa que la extensión completa de los dispositivos afectados sigue sin resolverse, y la brecha entre las evaluaciones del fabricante y de los investigadores es en sí misma un factor de riesgo para los usuarios que deben decidir si actuar.

El error del atacante

El atacante sí dejó un rastro. Clay Garrett, de Block, dijo en X que el operador utilizó una cuenta de pago en un proveedor de datos blockchain conocido para consultar las direcciones de origen durante los barridos. Según Garrett, los registros internos del proveedor coincidían con el flujo de trabajo sospechoso con lo que él calificó como una especificidad extraordinaria, hasta el número, el momento y la secuencia de las solicitudes.

1/ During our investigation of the Coldcard drain yesterday, we identified an unusual pattern in the sweeps. That pattern led us to a hypothesis that has since been confirmed: the operator used a paid account at a well-known blockchain-services provider to query the source… — Clay Garrett (@clay_garrett) July 31, 2026

El proveedor parece haber estado proporcionando servicios ordinarios a solicitudes que no daban ninguna indicación de su propósito. Block ha transmitido la información a las autoridades.

Implicaciones más amplias para el almacenamiento en frío

El almacenamiento en frío siempre ha prometido que una clave privada es imposible de adivinar. La industria interpretó ampliamente que esto era una garantía de que la clave también era inalcanzable. La explotación de Coldcard demuestra que se trata de dos propiedades distintas, y el costo de encontrar y explotar debilidades en la primera sigue disminuyendo.

En un desarrollo separado que destaca la evolución del panorama de amenazas, Anthropic publicó el martes una investigación que muestra que uno de sus modelos de IA redujo a la mitad la seguridad de un algoritmo criptográfico post-cuántico candidato en 60 horas, frente a un diseño que había sobrevivido a dos años de revisión por expertos.

Almacenar una clave de forma segura es ahora la mitad más fácil del problema. Asegurar que se haya generado correctamente en primer lugar puede ser la mitad más difícil.

Fuente: CoinDesk