Los incidentes con carteras de hardware rara vez ocurren como eventos aislados. Cuando direcciones inactivas durante mucho tiempo comienzan a actuar según un guion cuidadosamente coordinado, el mero momento de ocurrencia ya requiere una investigación minuciosa. Esto es precisamente lo que sucedió el 30 de julio de 2026, cuando se presume que 594 $BTC por un valor aproximado de 38 millones de dólares fueron transferidos desde alrededor de 500 direcciones de firma única en un lapso de aproximadamente 25 minutos.
Qué dice Coinkite
El CEO de Coinkite, Rodolfo Novak, conocido en la industria como NVK, declaró que la empresa está dando máxima prioridad a estos informes. "Todos estamos trabajando a toda marcha, examinando minuciosamente todos los detalles; próximamente habrá una publicación técnica", escribió Novak en X. Agregó que, tras aparecer estos informes, los canales de comunicación de la empresa estaban "inundados" de consultas. En una publicación separada, Novak enfatizó: "Hemos llevado a cabo una investigación exhaustiva en relación con los informes sobre COLDCARD, pronto habrá una publicación en el blog".
En una publicación del blog con recomendaciones de seguridad, la empresa señaló un rango específico de dispositivos vulnerables. El problema podría afectar a cualquier persona que haya generado una semilla en el Mk3 con versiones de firmware desde la 4.0.1, lanzada en marzo de 2021, hasta la versión 5.0.3, la última versión compatible con el Mk3. Coinkite aclaró que, según los hallazgos preliminares del análisis, los modelos Mk4, Q y Mk5 no se ven afectados.
Usuarios con frases de contraseña tienen menor riesgo
Según la advertencia, las carteras protegidas por una frase de contraseña BIP-39 (una frase agregada por el usuario y distinta al PIN del dispositivo), según el análisis preliminar de Coinkite, parecen tener un riesgo mínimo. La empresa recomendó a los usuarios que emplean una frase de contraseña que continúen protegiendo dicha frase y eviten ingresarla en dispositivos o sitios web no confiables.
Para los propietarios del Mk3 que no utilizaron una frase de contraseña, Coinkite recomendó migrar a una nueva semilla generada en un dispositivo no afectado por el incidente. La empresa señaló que no se debe apresurar este proceso. Aconsejó primero enviar una pequeña transacción de prueba, verificar la nueva cartera y la dirección de recepción en la pantalla del dispositivo, y conservar la copia de seguridad antigua hasta que la migración sea confirmada.
Medidas temporales
Coinkite propuso dos pasos temporales para propietarios cuyo Mk3 sea su único dispositivo:
- Establecer una frase de contraseña BIP-39 sólida y única y transferir los fondos a una nueva cartera protegida por ella.
- Generar una semilla de respaldo utilizando el método de importación "tirada de dados" en el Mk3, que no depende del generador de números aleatorios del dispositivo, aunque Coinkite calificó este procedimiento como complejo y que requiere una verificación minuciosa.
Coinkite publicó instrucciones completas con pasos técnicos en su publicación de recomendaciones, disponible en el blog de la empresa. La empresa aclaró que la investigación continúa y que se publicarán detalles adicionales más adelante. Desde su lanzamiento, Coldcard ha ganado reputación como una cartera de hardware con aislamiento de aire, centrada en la seguridad, y estos informes han captado amplia atención en toda la comunidad de Bitcoin, mientras los propietarios verifican sus propios dispositivos.
end-content
