Las billeteras de hardware han sido consideradas durante mucho tiempo la forma más confiable de almacenar moneda digital, pero un incidente reciente con dispositivos de la empresa Coinkite hará que muchos reconsideren esta opinión. El 30 de julio de 2026, atacantes retiraron 594,5 bitcoins (aproximadamente $40 millones) de quinientas direcciones en solo veinticinco minutos.
La naturaleza del fallo de software en términos simples
La raíz del problema radica en un error en el código del software que pasó desapercibido durante cinco años. La billetera de hardware Coldcard debía crear una frase semilla (seed) utilizando un chip seguro especial que generaba números verdaderamente aleatorios. Sin embargo, debido a un error tipográfico en una macro, los desarrolladores de Coinkite desactivaron accidentalmente esta función en marzo de 2021.
Esta grave violación de los estándares de la industria llevó a que, en lugar de protección confiable, el dispositivo comenzara a crear claves basadas en datos predecibles: el número de serie del procesador y las lecturas del reloj interno del sistema. Las palabras generadas parecían un conjunto seguro estándar, pero debido a la previsibilidad del proceso de creación, los piratas informáticos podían descifrarlas fácilmente. El nivel de resistencia criptográfica resultó catastróficamente bajo: para los modelos Mk2 y Mk3, el espacio de búsqueda se redujo a aproximadamente 40 bits, y en las versiones más nuevas Mk4, Mk5 y Q, la entropía final fue de unos 72 bits en lugar de los 128 bits requeridos.
Mecánica del ataque y reacción de la empresa
Los atacantes no necesitaron acceso físico a los dispositivos ni enlaces de phishing. Simplemente tomaron los parámetros de este generador "defectuoso" y organizaron una búsqueda por fuerza bruta en modo offline. Al generar millones de frases semilla posibles, el hacker verificó su existencia en el registro público, encontró direcciones con saldo y firmó de forma independiente las transacciones para transferir los fondos.
Inicialmente, la empresa Coinkite declaró que las nuevas versiones de los dispositivos no estaban en riesgo. Sin embargo, un análisis posterior obligó a la dirección a reconocer que todos los dispositivos que funcionaban con el firmware comprometido eran vulnerables. El director de Coinkite, Rodolphe Novak, conocido bajo el seudónimo NVK, se disculpó en la red social X por el error cometido, confirmando la responsabilidad total de los desarrolladores, pero descartando la posibilidad de cualquier compensación financiera para los usuarios afectados.
Acciones necesarias para los propietarios
Es importante entender: la simple instalación de una actualización de firmware reciente no elimina la amenaza para una frase semilla ya creada. El núcleo criptográfico está comprometido desde el momento de su generación. Para proteger los activos, es necesario seguir un estricto algoritmo de acciones:
Actualizar el dispositivo a versiones seguras del software: 4.2.0 para Mk3, 5.6.0 para Mk4 y Mk5, o 1.5.0Q para el modelo Q.
Generar una nueva frase semilla directamente en el dispositivo actualizado.
Transferir todos los fondos por completo a nuevas direcciones creadas usando esta nueva frase semilla.
El uso de una frase de contraseña confiable según el estándar BIP-39 también puede reducir los riesgos, pero no elimina la necesidad de migrar a una nueva clave. Los productos TAPSIGNER, OPENDIME y SATSCARD no se vieron afectados por este incidente, ya que funcionan en una base de software diferente.
Representantes de Coinkite señalaron que el código abierto teóricamente permitía detectar esta vulnerabilidad utilizando herramientas de inteligencia artificial, aunque las auditorías internas de la empresa poco antes del incidente no revelaron el problema. Algunos informes analíticos, incluidos datos de Galaxy Research, sugieren que el volumen total de fondos retirados podría alcanzar los 1,000 bitcoins.
La situación demuestra que incluso el hardware especializado requiere una auditoría independiente constante del código, especialmente en funciones criptográficas.
Opinión de la IA
Desde el punto de vista del análisis de datos automatizado, el incidente con Coldcard no es el primer caso en el que un defecto en un generador de números aleatorios pasa desapercibido durante años. Un escenario similar ocurrió con el paquete OpenSSL en Debian: un error en un parche de 2006 redujo el espacio de claves a 32,767 opciones, y la vulnerabilidad se descubrió solo dos años después, poniendo en riesgo claves SSH y SSL en todo el mundo.
El aspecto macroeconómico de la historia también merece atención: la confianza en las billeteras de hardware se basaba precisamente en que un soporte físico cerrado era más confiable que las soluciones de software, y el incidente actual desdibuja esta frontera. El código abierto teóricamente acelera la detección de tales errores a través de auditorías independientes y herramientas automatizadas, pero cinco años de silencio muestran que la teoría y la práctica divergen. Queda la pregunta: ¿podrán las verificaciones algorítmicas del código reemplazar alguna vez por completo la auditoría humana en criptografía crítica?
