Un exploit masivo de la billetera hardware Coldcard que comenzó el 30 de julio ha provocado aproximadamente $130 millones en Bitcoin robado, mientras simultáneamente desencadenaba una de las mayores migraciones de autocustodia en la historia de la red, con 233,000 BTC—valorados en aproximadamente $15 mil millones a precios actuales—saliendo de billeteras de tenedores a largo plazo hacia configuraciones más seguras.

El ataque se dirigió a las billeteras hardware Coldcard, dispositivos físicos fabricados por la empresa canadiense Coinkite que almacenan claves privadas completamente fuera de línea. Coldcard ha sido ampliamente adoptada entre los usuarios de autocustodia de Bitcoin específicamente por su diseño air-gapped, en el que las transacciones se firman en un dispositivo que nunca se conecta directamente a internet—un modelo de seguridad que hace que el compromiso de claves a nivel de firmware sea particularmente significativo para la comunidad que dependía de él. Un error de firmware introducido en marzo de 2021 había redirigido la generación de claves a través de un generador de números aleatorios de software débil en lugar del chip de hardware dedicado del dispositivo. Esto provocó que las claves privadas—los códigos secretos que demuestran la propiedad de Bitcoin y autorizan transacciones—se volvieran adivinables, con la seguridad colapsando de 128 bits a aproximadamente 40 bits. A 40 bits, el espacio de claves es lo suficientemente pequeño para que el hardware de consumo moderno pueda realizar ataques de fuerza bruta en marcos de tiempo prácticos—una clase de vulnerabilidad que ha afectado a sistemas de criptomonedas anteriormente, de manera más notable en una falla de la billetera de Android de 2013 que igualmente producía claves predecibles. La vulnerabilidad ha sido descrita como el equivalente criptográfico de una bóveda bancaria asegurada con un PIN de cuatro dígitos.

Galaxy Research rastreó las consecuencias a lo largo de tres oleadas de ataque confirmadas, con pérdidas que alcanzaron aproximadamente 1,596 BTC en más de 5,200 direcciones. El CEO de Casa, Nick Neuman, citando datos onchain del analista James Check de Checkonchain, reportó una cifra más alta de aproximadamente 2,100 BTC robados. Debido a que el atacante tuvo que comprometer direcciones individualmente en lugar de vulnerar un único depósito custodial, el drenaje ocurrió de manera incremental—dando tiempo a la red en general para reaccionar.

Neuman compartió el desglose onchain en una publicación en X:

The onchain metrics around the Coldcard incident reinforce how important self custody is to the resilience of Bitcoin as an asset class.

In the couple of days around the hack: - 2.1k BTC was stolen - 22k moved to exchanges - 233k moved out of long term holder wallets in on… pic.twitter.com/iewr5RvG9c

— Nick Neuman (@Nneuman) August 9, 2026

Según los datos de Checkonchain citados por Neuman, 22,000 BTC se trasladaron a exchanges, y 233,000 BTC salieron de billeteras de tenedores a largo plazo—definidas como direcciones inactivas durante al menos 155 días, un grupo que los analistas monitorean como un indicador de inversores serios y a largo plazo. Esa cifra representa más de 100 veces la cantidad que los atacantes robaron con éxito.

Checkonchain también publicó su propio análisis del cambio en la oferta de tenedores a largo plazo:

The Coldcard incident resulted in Long-Term Holder supply declining by ~233k BTC, a 1.38% fall from its recent all-time high.

With such a meaningful event, an important question is whether the emergency migration of coins has skewed the onchain metrics we use to analyse Bitcoin.… pic.twitter.com/FPVLUkUlqU

— _Checkonchain (@_checkonchain) August 7, 2026

Los datos de la firma de análisis Glassnode corroboraron la escala: la oferta de tenedores a largo plazo cayó de casi 15 millones de BTC a aproximadamente 14.7 millones de BTC—el mayor descenso semanal desde diciembre de 2024. Esto ocurrió mientras Bitcoin se negociaba aproximadamente 50% por debajo de su máximo histórico de $126,000, alcanzado en octubre de 2025.

Casa confirmó a través de conversaciones reales con clientes que la migración no se limitó a los propietarios de Coldcard. Parte de los 233,000 BTC provino de usuarios de Ledger y Trezor—marcas de billeteras hardware completamente diferentes—que utilizaron el incidente como catalizador para actualizar a configuraciones multifirma. Las configuraciones multifirma requieren múltiples claves independientes para aprobar cualquier transacción, lo que significa que ningún dispositivo comprometido individualmente puede vaciar una billetera completa. Otros fondos provinieron de usuarios de Coldcard que migraron directamente a nuevas semillas seguras.

"Así que en algún lugar entre ~10x-100x la cantidad de bitcoin robado fue trasladada a un lugar seguro mientras la gente daba la alarma," escribió Neuman.

Neuman argumentó que el incidente demostró una ventaja estructural de la autocustodia sobre la custodia centralizada. Cuando un exchange centralizado es vulnerado, todos los fondos se exponen a la vez—un patrón visto en colapsos importantes de exchanges que han resultado colectivamente en miles de millones de dólares en pérdidas a lo largo de la historia de Bitcoin. En este caso, la necesidad del atacante de vulnerar direcciones individuales creó una ventana para que el resto de la red respondiera.

"Esta es una gigantesca señal de neón parpadeante que muestra la resiliencia que la autocustodia añade a la red," escribió Neuman. "Si todo ese BTC hubiera estado en un custodio y el custodio hubiera sido hackeado en su lugar, esos números habrían estado invertidos."

Coinkite ha instado a cualquiera que haya generado una frase semilla en versiones de firmware 4.0.1 a 4.1.9—cubriendo de marzo de 2021 a julio de 2026—a tratar esas billeteras como comprometidas y migrar a una nueva semilla inmediatamente. La ventana de más de cinco años significa que cualquier clave generada durante todo ese período está potencialmente afectada, expandiendo significativamente el universo de billeteras en riesgo más allá de aquellas explotadas activamente en las oleadas de ataque de julio.