En apenas 41 minutos, unos atacantes lograron extraer 60 millones de euros en bitcoin de miles de monederos fríos, considerados hasta ahora el estándar de seguridad en la custodia de criptoactivos. El incidente, que afectó a unos 5.000 usuarios de los dispositivos Coldcard, supone uno de los mayores golpes a la autocustodia y evidencia la creciente sofisticación de los ciberataques contra carteras personales.
Claves de la operación
- La vulnerabilidad explotada se remonta a 2021. Algunos monederos fríos generaban semillas con un algoritmo más predecible de lo debido, lo que permitió a los hackers probar combinaciones en un ordenador corriente hasta dar con la correcta, sin recurrir a malware ni phishing.
- Los atacantes priorizaron las billeteras de mayor valor. En los primeros 10 minutos se llevaron 30 millones de euros, según Chainalysis. El patrón indica un estudio previo de los objetivos, lo que elevó el impacto del robo a gran escala.
- Expertos y reguladores reavivan el debate sobre la autocustodia. «Tus llaves, tus monedas se convierte en tus llaves, tus problemas», resume Ferdinando Ametrano. La CNMV y otros organismos ya alertaban sobre los riesgos operativos de la gestión individual de claves.
Una vulnerabilidad de 2021 que tardó tres años en explotarse
El fallo residía en la generación de la frase semilla, la llave maestra de 12 a 24 palabras que permite recuperar todas las claves privadas. Según el CEO de CheckSig, Ferdinando Ametrano, en lugar de crear combinaciones completamente aleatorias, algunos lotes de Coldcard producían secuencias con un nivel de entropía inferior al necesario. Esto redujo el espacio de búsqueda a un volumen que podía ser recorrido con un ordenador doméstico en cuestión de horas.
El inversor canadiense Jonathan Goodman lo experimentó en carne propia. Tenía 1,6 millones de dólares en bitcoin dentro de un monedero frío guardado en una caja de seguridad física. Cuando Coinkite, la empresa matriz de Coldcard, alertó del incidente, él confiaba en no verse afectado. Al acceder a sus cuentas, descubrió que entre las 21.36 y las 21.43 horas del 29 de julio sus tres billeteras quedaron vacías. «Vi líneas rojas de retiradas de fondos y entonces lo entendí», relató en X.
De los exchanges a los monederos personales: el 44% del valor robado ya afecta a usuarios finales
El caso de Coldcard se inscribe en una tendencia mayor. Chainalysis cifra en más de 3.400 millones de dólares las criptomonedas robadas en 2025, de los cuales 1.500 millones correspondieron al ataque a la plataforma Bybit. Pero el patrón cambió en 2024 y ya el 44% de los robos se produjeron en carteras personales, frente al 7,3% de 2022. Los ataques ya no se concentran en las plataformas, sino en los eslabones más débiles de la cadena: los usuarios individuales.
Las pérdidas acumuladas en criptoactivos el año pasado superaron los 3.400 millones de dólares, una cifra que coloca a la seguridad digital en el centro del debate. Los tres incidentes más graves de 2025 acapararon el 69% del valor sustraído, según las mismas fuentes. Ahora, los cold wallets, que antaño se presentaban como la solución definitiva, muestran sus propias costuras técnicas.
Los monederos fríos, que antaño representaban solo el 7% del valor robado, ya concentran casi la mitad de las pérdidas.
El dilema de la autocustodia: ¿soberanía o exposición al riesgo?
La promesa de «tus llaves, tus monedas» ha sido uno de los pilares del movimiento cripto. Sin embargo, el incidente revela que la autocustodia traslada el riesgo del custodio al usuario, que asume complejidades técnicas que a menudo no maneja. Anthony J. Pompliano, CEO de ProCap Financial, lo resume con claridad: «La autocustodia es técnicamente compleja; no todo el mundo está preparado para asumirla».
En España, la CNMV ha advertido en reiteradas ocasiones sobre la exposición de los inversores minoristas a la gestión autónoma de claves y recomienda recurrir a plataformas registradas. Con la entrada en vigor de MiCA, el reglamento europeo de criptoactivos, los proveedores de custodia tendrán que obtener licencia y cumplir requisitos de solvencia y seguridad. Este marco puede acelerar el paso de muchos usuarios desde la autocustodia hacia servicios regulados, como los que ya ofrecen entidades como Bit2Me u Onyze.
La historia reciente de la custodia de criptoactivos en España ha pasado del entusiasmo inicial por la descentralización a un pragmatismo regulatorio que busca proteger al inversor. El hackeo de Coldcard, que se suma a precedentes como el de Bybit, refuerza la idea de que la seguridad total no existe, ni siquiera en el cold storage. Lo que cambia es quién asume el coste del fallo: el usuario, el regulador o el mercado. La pregunta abierta es si este incidente inclinará la balanza hacia la custodia profesionalizada en Europa o si, por el contrario, los usuarios volverán a confiar en su propia gestión técnica, ahora con más escepticismo.
