Antes de abordar directamente la relevancia de esta clase de carteras, toquemos la razón por la cual había tanta desconfianza hacia ellas a finales del verano de 2026.
Una oleada de ataques de piratas informáticos llevados a cabo contra los dispositivos de almacenamiento de hardware Coldcard de la empresa canadiense Coinkite. Ya el primer día, los usuarios perdieron 1082,65 $BTC por un valor superior a los $70,2 millones. En total, según diversas estimaciones, las pérdidas ascendieron a entre 1778,84 $BTC y 2417,35 $BTC ($115-$153 millones). Pero, ¿qué provocó una fuga de activos digitales tan masiva?
Un problema inadvertido
El problema radicaba en la generación de la frase semilla. Por defecto, debe crearse de forma aleatoria. En realidad, debido a un error en el firmware, la frase semilla se podía adivinar por fuerza bruta (método de prueba y error). El nivel de entropía criptográfica se redujo de los 128 bits requeridos a 72 bits para una parte de los dispositivos, y para la otra incluso a 40 bits. El problema de la fuente de entropía estaba en el uso de ciertos datos típicos, incluidos valores temporales, al emplear un generador de números pseudoaleatorio, en lugar del generador de hardware necesario, lo que aumentó la amenaza para las claves privadas. Curiosamente, la vulnerabilidad en sí surgió hace mucho tiempo, en 2021. Es decir, durante cinco años enteros, los delincuentes podrían haberla aprovechado hipotéticamente, pero solo tomaron medidas concretas ahora. Señalemos que los modelos de dispositivos Coldcard se vieron afectados en distintos grados. El mayor impacto fue para las versiones antiguas: Mk2 y Mk3.
¿Por qué el nivel de entropía es tan importante? Se puede establecer la siguiente analogía: según algunas estimaciones, 128 bits ofrecen aproximadamente esta seguridad: si cada estrella en el universo observable correspondiera a una opción, para obtener el número correcto habría que examinar todas las estrellas en 340 billones de universos similares. En consecuencia, reducir la entropía en docenas de bits disminuye el número de combinaciones a examinar en muchos órdenes de magnitud.
Finalmente, Coinkite lanzó un firmware corregido. Los usuarios afectados debían crear una nueva frase semilla, confirmar la nueva cartera mediante una transacción de prueba y transferir allí los bitcoins restantes.
Aunque el caso afectó directamente a Coldcard, el golpe reputacional lo sufrieron todas las carteras de hardware. Por cierto, ¿cómo reaccionaron sus representantes ante este incidente?
Reacción de Trezor y Ledger
Los líderes reconocidos en el ámbito de las carteras de hardware son las soluciones de las empresas Trezor y Ledger. Cada una hizo una declaración oficial sobre la situación con Coldcard. Su esencia era similar, pero con matices distintivos.
En Trezor declararon que sus dispositivos siguen siendo seguros. Sin embargo, hicieron una salvedad importante. Si la cartera se creó inicialmente en un Coldcard vulnerable, y luego la copia de seguridad se importó o restauró en un Trezor, los activos digitales de dicho usuario podrían estar en peligro. Al mismo tiempo, los desarrolladores aclararon que incluso los modelos antiguos Safe 3 y Safe 5 están seguros, ya que utilizan una selección aleatoria al emplear el chip Optiga Secure Element, mientras que la versión más nueva, Safe 7, utiliza para este propósito el chip TROPIC01. En ambos casos, la longitud de entropía es de 128 bits.
El director técnico de Ledger, Charles Guillemet, también descartó la posibilidad de una amenaza para los dispositivos de su empresa. Declaró que todas las soluciones técnicas de la organización utilizan un generador de números verdaderamente aleatorios (True Random Number Generator, TRNG) mediante el chip Secure Element. Este garantiza una longitud de entropía de 256 bits para cada frase de 24 palabras.
Los problemas de las carteras de hardware últimamente no se limitan exclusivamente a la situación de Coldcard. A principios de agosto causó mucho revuelo el caso de SafePal. ¿Qué pasó realmente?
Fuga de datos de usuarios de SafePal
Entre marzo de 2025 y abril de 2026, los datos de casi 40.000 clientes de SafePal sufrieron una fuga. Afortunadamente para los usuarios, no incluían nada relacionado específicamente con las criptomonedas: frases semilla, claves privadas o los activos digitales en sí. Sin embargo, la información incluía nombres, direcciones físicas y datos de contacto.
El problema estaba en un plugin que se utilizaba para rastrear pedidos. Se presume que los delincuentes obtuvieron acceso a todos los datos de esa manera. SafePal corrigió el fallo y desarrolló medidas adicionales para garantizar la seguridad. A partir de ahora, los datos en el sistema de procesamiento se almacenarán solo durante 90 días. Además, la empresa eliminó 30 sitios web y enlaces de phishing que estaban asociados con la vulnerabilidad.
Fuga de datos de clientes de Trezor
El fabricante de carteras de hardware para criptomonedas Trezor, mencionado anteriormente, enfrentó un problema similar en 2026. Los desarrolladores informaron de que los delincuentes habían pirateado a su socio, el operador logístico ShipMonk. Como resultado del ataque, los datos de aproximadamente 14.000 clientes de Trezor, en su totalidad o en parte, quedaron comprometidos.
El principal peligro en el caso del hackeo de ShipMonk no es que las carteras se volvieran inseguras, sino que los delincuentes, al poseer datos personales de los usuarios: sus nombres, direcciones de residencia, correos electrónicos, números de teléfono y otra información, pueden intentar atacar a las víctimas mediante phishing y otros métodos.
Los incidentes con Coldcard, SafePal y Trezor se dieron a conocer casi simultáneamente, lo que amplificó el efecto negativo de la comunidad criptográfica hacia las carteras de hardware. ¿Quizás ya se acabó con este tipo de soluciones de almacenamiento en frío, o no debemos sacar conclusiones precipitadas?
Problemas de interpretación
En primer lugar, es necesario entender qué es exactamente una cartera de criptomonedas. No es el lugar donde se encuentran directamente los bitcoins u otros activos digitales. Todos ellos existen exclusivamente en la cadena de bloques (blockchain), y el usuario accede a ellos solo al poseer la clave privada. Es decir, una cartera de criptomonedas es la forma en que el usuario interactúa con la blockchain, almacenando esa información importante.
En segundo lugar, debemos considerar todas las opciones donde se puede almacenar la frase semilla o directamente la clave privada. Desafortunadamente, ninguna es perfecta. Se puede escribir la frase mnemotécnica en papel, pero esa opción es vulnerable a daños y pérdidas. Por supuesto, siempre está la posibilidad de memorizar/aprender la frase, pero eso es extremadamente poco fiable. Una buena alternativa al papel y a la propia memoria son las placas metálicas especiales, donde se graba/componen con fichas la frase semilla. Las venden desde fabricantes famosos como Ledger (la placa Billfodl) hasta empresas menos conocidas.
No nos detendremos en detalle en todos los riesgos de almacenar activos en carteras calientes o en intercambios de criptomonedas, ya que estos métodos también están sujetos a ataques de hackers, virus, etc. Desafortunadamente, los dispositivos de almacenamiento en frío (hardware), como resultó, tampoco son una panacea para todas las vulnerabilidades.
En tercer lugar, los casos de SafePal y Coldcard afectaron a soluciones tecnológicas específicas. Todos los demás solo sufrieron el efecto del 'boca a boca', pero las criptomonedas no se vieron afectadas de ninguna manera allí. Curiosamente, en medio de los problemas con Coldcard, también aumentó el número de transacciones en la red Bitcoin. Irónicamente, muchos usuarios comenzaron a mover sus ahorros a intercambios de criptomonedas centralizados (CEX), es decir, optaron por el almacenamiento custodial en lugar del no custodial. En otras palabras, en lugar de buscar un método confiable de almacenamiento personal de criptomonedas, delegaron esa tarea a las plataformas de trading.
En cuarto lugar, el problema de los almacenes de criptomonedas existe, pero hay uno mucho más global: el desarrollo de la inteligencia artificial (IA). La vulnerabilidad en Coldcard existió durante cinco años. Sin embargo, solo en 2026, utilizando redes neuronales, los delincuentes 'rompieron las defensas'. Precisamente a esto se refirió el director de Gestión del Capital Humano de Ledger, Ian Rogers. En su opinión, el problema no está en las propias carteras de hardware, sino en que, con el desarrollo de la IA, el conjunto de herramientas de los delincuentes para encontrar vulnerabilidades se ha expandido varias veces.
Resulta que, para la mayoría de los usuarios, no hay soluciones alternativas a las carteras de hardware en términos de seguridad, simplicidad y comodidad. Esto no las hace excepcionales o perfectas, pero otras soluciones no tienen menos inconvenientes, a veces incluso más. Esto se ve claramente en el ejemplo de las transferencias de activos a CEX en lugar del almacenamiento no custodial tras las noticias negativas. Es decir, para algunos usuarios es más conveniente delegar el almacenamiento que buscar un método complejo pero seguro. Además, el desarrollo de la IA juega en dos direcciones. Por un lado, ayuda a los desarrolladores a fortalecer la protección, por otro, ayuda a los estafadores a encontrar fallos más rápido.
Conclusión
En definitiva, los casos de Coldcard y SafePal deben considerarse como situaciones particulares e individuales. No tiene sentido dar por finalizadas todas las carteras de hardware, ya que los fabricantes abordan de manera diferente la implementación del almacenamiento seguro de criptomonedas. El desarrollo de la inteligencia artificial tiene un carácter dual, ya que no solo ayuda a fortalecer la protección de los almacenes de criptomonedas, sino que también contribuye a que los delincuentes encuentren nuevos puntos débiles.
end-content
