La comunidad de Bitcoin ha reaccionado de forma contundente tras el histórico exploit que vació decenas de carteras de hardware Coldcard, robando más de 100 millones de dólares. Un equipo de voluntarios, conocido como el Bitcoin Red Team, ha llevado a cabo una auditoría masiva asistida por inteligencia artificial que ha identificado 85 fallos críticos de seguridad en 390 repositorios open source del ecosistema.
El aviso es claro para cualquier poseedor de Coldcard que no haya migrado sus fondos: todavía están en riesgo. La vulnerabilidad, centrada en un fallo en el generador de números aleatorios del firmware, afectó a los modelos MK3+ y permitió a los atacantes drenar las carteras de forma silenciosa. La histeria en redes sociales llevó a que exchanges como Boltz anunciaran una pausa en sus operaciones para protegerse de los intentos de hackeo automatizados.
El detonante: el exploit de Coldcard y los 100 millones desaparecidos
Hace apenas unos días, la industria se sacudió con la noticia: un error en el código de los monederos físicos Coldcard había permitido el robo de más de 100 millones de dólares en bitcoin. El exploit explotaba una debilidad en el proceso de generación de las semillas, haciendo que las claves privadas fueran predecibles. Aunque Coldcard emitió un aviso urgente para migrar los fondos a nuevas carteras, muchos usuarios no lo hicieron o no lo han hecho todavía, y los hackers siguen activos.
Este incidente no solo fue un golpe económico, sino que se ha vivido como un ataque espiritual a la autocustodia, el principio que sostiene que cada usuario debe ser dueño absoluto de sus claves. Rob Hamilton, CEO de Anchorwatch, una aseguradora de autocustodia, lo expresó con crudeza: “No hay Bitcoin sin autocustodia. Esto es innegociable”.
La respuesta: una auditoría masiva con inteligencia artificial
Ante la conmoción, Calle, ingeniero de software y creador de la versión Android de Bitchat, y el propio Hamilton movilizaron al Bitcoin Red Team, un colectivo de desarrolladores y expertos en seguridad unidos por una misión: auditar todo el código abierto del ecosistema Bitcoin. Con financiación de OpenSats, una organización sin ánimo de lucro que apoya el desarrollo open source, gastaron más de 40.000 dólares en tokens de inteligencia artificial para poner a trabajar a los modelos más punteros.
Los primeros resultados son abrumadores: en solo 27,5 horas, se han registrado 4.962 hallazgos, de los cuales 85 son de severidad crítica y 635 de alta, distribuidos entre 390 proyectos de software libre. Para alcanzar esa velocidad, recurrieron a modelos como Kimi K3, GPT Sol, Fable, Opus y GLM5.2. Al principio, las limitaciones de acceso a las APIs de OpenAI y Anthropic obligaron a depender de modelos chinos open source, pero a medida que el proyecto ganaba notoriedad, lograron acceso a las herramientas más avanzadas.
Hamilton compartió que han desarrollado un “arnés” a medida —un conjunto de pruebas automatizadas— que llegó a sumar 171.599 líneas de código. Este arnés se diseñó para identificar y reproducir vulnerabilidades en librerías críticas, documentarlas y entregar informes a los ingenieros responsables. La intención es liberarlo como código abierto para que cualquier empresa pueda ejecutarlo sobre su propio código cerrado.
No hay Bitcoin sin autocustodia. El exploit de Coldcard ha sido un ataque espiritual a esa premisa, y la respuesta debe ser una auditoría implacable.
El equipo no cuenta todavía con una web oficial ni un repositorio centralizado, pero ha recibido agradecimientos públicos de figuras como danielabrozzoni, lylepratt, stutxo o benthecarman. Mientras tanto, los mensajes directos de Hamilton o Calle a desarrolladores, alertándoles de fallos críticos en sus repos, generan a partes iguales alivio y terror, como lo demuestran las capturas humorísticas que circulan en redes.
Análisis: lecciones para la autocustodia y el futuro de la seguridad en Bitcoin
Más allá del susto, este episodio deja varias enseñanzas. La primera, y más evidente, es que la seguridad de la autocustodia es tan fuerte como su eslabón más débil. Un fallo en una cartera de hardware, que muchos consideran infalible, puede tener consecuencias catastróficas si no se corrige con rapidez. La dependencia de un único proveedor como Coldcard es un riesgo sistémico que la comunidad está tratando de dispersar con auditorías abiertas.
El enfoque del Red Team también muestra el potencial, y los límites, de la IA. Las máquinas pueden escanear millones de líneas de código e identificar patrones sospechosos, pero la interpretación final la deben hacer los humanos. El propio Hamilton señaló que los ingenieros con conocimiento específico en un área podían exprimir el arnés mucho mejor, detectando contextos que la IA pasaba por alto.
Mientras la industria asimila el golpe, el robo de Coldcard es un recordatorio de que en el camino hacia una banca sin intermediarios, la responsabilidad recae sobre cada usuario. Y que solo una comunidad vigilante, dispuesta a dedicar recursos y tecnología a la defensa activa, puede mantener a salvo la promesa de un dinero electrónico sin permisos. Hamilton, con tono de determinación, cerró su último mensaje: “Tengo la convicción más alta de mi vida de que la idea y la tecnología de Bitcoin merece la pena. No hay Bitcoin sin autocustodia”.
