Brecha en Coldcard: $75M en Bitcoin robados por fallo en seeds

¿Qué ha ocurrido?

El pasado 2 de agosto de 2026, se reveló una brecha de seguridad masiva que afecta a las billeteras de hardware Coldcard, uno de los dispositivos más confiados por la comunidad Bitcoin para almacenar criptomonedas de forma segura. Según informó Slashdot, un cambio de código en el firmware, implementado el 1 de marzo de 2021, hizo que los dispositivos Mk3 cayeran silenciosamente a un generador de números pseudoaleatorios basado en software, en lugar del generador de hardware criptográficamente seguro. Esto redujo la entropía efectiva de las semillas de recuperación (recovery seeds) de 128 bits a aproximadamente 40 bits, un espacio de búsqueda lo suficientemente pequeño como para ser atacado por fuerza bruta con recursos de computación en la nube.

El equipo de ingeniería de Block confirmó el hallazgo, y Coinkite, el fabricante de Coldcard, lo reconoció como preliminar pero válido. Los atacantes explotaron esta debilidad para calcular las semillas de un gran número de billeteras y transferir los fondos a direcciones controladas por ellos. Según Galaxy Research, para el sábado por la mañana se habían robado aproximadamente 1,158.66 BTC, valorados en unos $75.1 millones, desde 2,673 direcciones. Chainalysis, una firma de análisis blockchain, observó que los atacantes priorizaron las billeteras con mayores saldos, logrando extraer más de $30 millones en los primeros diez minutos del ataque.

¿Por qué es importante?

Este incidente es uno de los mayores robos de Bitcoin directamente atribuibles a una vulnerabilidad en hardware wallets, un tipo de dispositivo que se comercializa como la opción más segura para custodiar criptomonedas. La promesa fundamental de una billetera de hardware es que las claves privadas nunca salen del dispositivo, y que un atacante necesitaría acceso físico para robar los fondos. Sin embargo, la debilidad en la generación de la semilla rompe esa premisa: cualquiera que pueda reproducir la semilla puede controlar la billetera sin tener el dispositivo físico.

La brecha es particularmente grave porque afecta a usuarios que confiaron en Coldcard para almacenar grandes cantidades de Bitcoin. La pérdida de $75 millones no solo representa un daño financiero directo, sino que también socava la confianza en la seguridad de las billeteras de hardware en general. Además, este evento pone de manifiesto la fragilidad de los procesos de actualización de firmware: un cambio aparentemente menor puede introducir vulnerabilidades críticas que pasan desapercibidas durante años.

Consecuencias y reacciones

Coinkite ha lanzado un firmware corregido, pero advierte que actualizar no repara las semillas ya generadas con la versión vulnerable. Los usuarios afectados deben generar una nueva semilla en un dispositivo actualizado y transferir sus fondos a la nueva billetera. Esta medida es urgente, ya que el exploit se considera activo y en curso. Galaxy Research ha instado a todos los usuarios de Coldcard con billeteras de una sola firma a mover sus fondos de inmediato.

La comunidad de seguridad y las autoridades ya están involucradas. Se han reportado alrededor de 600 direcciones que se cree pertenecen a los hackers a agencias federales, firmas de cumplimiento y ciberinvestigadores. La magnitud del ataque ha llevado a comparaciones con otros robos históricos en el espacio cripto, como el hackeo de Mt. Gox en 2014 o el ataque a Coincheck en 2018, aunque este caso es único porque explota una vulnerabilidad en el hardware en lugar de un intercambio centralizado.

Para las empresas y usuarios, las consecuencias son múltiples. Primero, la necesidad de auditar rigurosamente los procesos de generación de claves en cualquier dispositivo de seguridad. Segundo, la importancia de mantener el firmware actualizado y verificar la integridad de las actualizaciones. Tercero, la urgencia de que los fabricantes de hardware wallets implementen mecanismos de verificación de entropía y pruebas de aleatoriedad independientes.

Qué deben saber los lectores

• Si eres usuario de Coldcard: verifica tu modelo y versión de firmware. Si tienes un dispositivo Mk3 y generaste una semilla después del 1 de marzo de 2021, asume que tu semilla es potencialmente vulnerable. Genera una nueva semilla en un dispositivo actualizado y transfiere tus fondos lo antes posible.
• No actualices sin más: actualizar el firmware no corrige las semillas existentes. Debes crear una nueva billetera desde cero.
• Monitorea tus direcciones: si ya has sido víctima, es probable que los fondos ya se hayan movido. Contacta con las autoridades y con plataformas de análisis como Chainalysis para reportar el incidente.
• Considera la diversificación: para grandes tenencias, evalúa usar múltiples dispositivos de diferentes fabricantes y custodios, así como billeteras multifirma.
• Exige transparencia: la comunidad debe presionar a los fabricantes para que publiquen auditorías de seguridad independientes y demuestren la calidad de sus generadores de números aleatorios.

Este incidente subraya que la seguridad en criptomonedas no es estática: requiere vigilancia constante, actualizaciones oportunas y una comprensión profunda de las amenazas emergentes. La brecha de Coldcard es un recordatorio de que incluso los dispositivos más confiables pueden tener fallos críticos, y que la responsabilidad final de la custodia recae en el usuario.

“La diferencia entre 128 bits y 40 bits no es una cuestión de grado. Es la diferencia entre un candado que no se puede forzar y uno que cualquiera puede abrir con suficiente potencia de cómputo.” — Análisis de TheVortiq

Mantente informado y actúa con cautela. La seguridad de tus activos digitales depende de decisiones informadas y de la adopción de mejores prácticas en un ecosistema en constante evolución.