Como resultado de un ataque a los vulnerables monederos de hardware Coldcard, los atacantes robaron al menos 1778.84 $BTC (112.7 millones de dólares). No se han registrado nuevos casos de hackeos después del 6 de agosto, informó Galaxy Research.
Han disminuido los nuevos incidentes de hackers que explotan vulnerabilidades en el monedero de hardware Coldcard, aunque el recuento de pérdidas continúa aumentando a medida que nuevas víctimas se presentan.https://t.co/Q1X191mcGi
— Galaxy Research (@glxyresearch) August 14, 2026
Ataque a Coldcard
Los investigadores de la empresa se han contactado con 190 víctimas y han confirmado el robo de bitcoins de más de 8600 direcciones. Sin embargo, el daño final podría ser significativamente mayor: si se tienen en cuenta los episodios aún no confirmados, el volumen robado se estima en 2417.35 $BTC o ~$153 millones.
El ataque comenzó al menos la mañana del 30 de julio de 2026. Los atacantes recuperaron sistemáticamente frases semilla generadas por dispositivos Coldcard vulnerables, tras lo cual transfirieron los fondos a direcciones bajo su control.
La causa fue un error en el software. En 2021, el fabricante de Coldcard, Coinkite, actualizó el firmware de los dispositivos, cambiando el mecanismo de generación de entropía criptográfica. Debido a un bug, el nuevo generador de números aleatorios funcionaba incorrectamente, y los dispositivos cambiaban inadvertidamente a otra fuente de entropía, que resultó ser críticamente insuficiente para proteger las claves privadas.
En esencia, el problema existió durante varios años, pero solo se manifestó ahora: teniendo suficientes recursos computacionales, los atacantes pudieron reproducir las claves privadas creadas en los dispositivos vulnerables.
Han cesado los nuevos ataques
Galaxy señala que, entre las cadenas de ataque confirmadas, la última data del 6 de agosto. Después de esa fecha, nuevas víctimas continúan contactando a los investigadores, sin embargo, no se han detectado casos confirmados de hackeos posteriores.
Los investigadores suponen que los ataques cesaron por dos razones: los propietarios de los monederos vulnerables lograron transferir los fondos a nuevas direcciones, o la mayor parte de los fondos disponibles ya había sido robada. Los expertos recomiendan a los usuarios que aún almacenan bitcoins en Coldcard de firma única que transfieran inmediatamente los activos a nuevas direcciones.
Además, al parecer, no se trata de un solo atacante. Galaxy descubrió al menos 33 huellas adicionales de actividad y considera altamente probable el hecho de que la vulnerabilidad fue utilizada simultáneamente por varios atacantes.
La mayor parte de los bitcoins permanece en manos de los hackers
De los aproximadamente 1778 $BTC confirmados como robados, alrededor de 1531 $BTC aún se encuentran en direcciones controladas por los atacantes. Otros aproximadamente 246 $BTC ya han sido movidos después del robo.
Alrededor del 65% de estos fondos pasaron por transacciones CoinJoin, que dificultan el rastreo del origen de las monedas. El otro 35% continuó moviéndose a través de la blockchain, incluido el esquema Peel Chain, ampliamente utilizado para el lavado de criptomonedas. Su principio de funcionamiento consiste en que de una suma grande se "separan" repetidamente pequeñas microtransacciones, y la parte principal restante se transfiere a una nueva dirección.
Una pequeña parte de los bitcoins robados fue detectada en exchanges centralizados y puentes cross-chain. Galaxy proporcionó listas de direcciones a exchanges, empresas de cumplimiento e investigaciones, así como a autoridades policiales.
Un golpe a la idea del auto-custodia
La peculiaridad del incidente no radica solo en la magnitud de las pérdidas. Las víctimas fueron principalmente usuarios que tomaban muy en serio la idea del auto-custodia de Bitcoin.
Galaxy señala que los afectados no enviaron sus monedas a exchanges dudosos, no utilizaron protocolos DeFi riesgosos ni intentaron ganar dinero con instrumentos de alto rendimiento. Almacenaban bitcoins en monederos de hardware, considerados una de las formas más seguras de almacenar criptomonedas.
Como resultado, el incidente fue un golpe para la narrativa misma del auto-custodia. Según datos de Galaxy, después del inicio de los ataques, la cantidad de pequeñas transferencias de bitcoin a exchanges aumentó, y en los primeros cuatro días ingresaron más de 22,000 $BTC a plataformas centralizadas. Para el 8 de agosto, el saldo agregado en los exchanges alcanzó los 3.683 millones de $BTC, un máximo histórico.
Firma múltiple en lugar de un único punto de fallo
Una de las consecuencias inesperadas del ataque fue el aumento del interés en los monederos multisig. Galaxy enfatiza que ningún robo confirmado se realizó desde direcciones protegidas por firma múltiple.
Representantes de los servicios Casa y Anchorwatch reportaron un fuerte aumento en el número de nuevos clientes y en el volumen de bitcoins transferidos a almacenamientos multisig. El cofundador de Unchained, Dhruv Bansal, considera que es incorrecto percibir lo ocurrido como una victoria de los servicios de custodia sobre las soluciones no-custodiales. En su opinión, el verdadero problema es la existencia de un único punto de fallo: este puede ser un exchange, el fabricante de un monedero de hardware o el propio usuario.
Así, el incidente más bien obliga a reconsiderar el enfoque mismo del auto-custodia. En lugar de confiar en un solo dispositivo, los usuarios pueden distribuir el riesgo entre varias claves y componentes independientes de la infraestructura.
La IA podría haber ayudado a los atacantes
Un aspecto preocupante aparte está relacionado con el uso de inteligencia artificial. Galaxy cree que al menos parte de los atacantes probablemente utilizó modelos de IA sin restricciones estrictas de ciberseguridad — en particular, LLM chinos de código abierto.
Mientras tanto, los investigadores de Bitcoin Red Team, que después del ataque comenzaron a verificar masivamente la base de código del ecosistema en busca de vulnerabilidades, se enfrentaron al problema contrario: las restricciones de las principales empresas estadounidenses de IA les impedían utilizar los modelos más potentes para la defensa.
En Galaxy señalaron que esto es especialmente importante en el contexto de la propagación de la IA: las capacidades para buscar y explotar errores en el código se vuelven más accesibles no solo para desarrolladores e investigadores, sino también para atacantes.
Recordemos que en la primera mitad de 2026, los proyectos cripto perdieron alrededor de $1,100 millones debido a hackeos, y el número de exploits confirmados fue récord para seis meses, según cálculos de Blockaid.
end-content
