Si tenías bitcoins guardados en una Coldcard desde hace años, esta noticia te toca de cerca. Un fallo en el firmware de las populares carteras frías ha provocado robos por valor de más de 111 millones de dólares y la pérdida media por víctima ronda 1 BTC. Es la mayor brecha conocida en un monedero de hardware de bitcoin y deja al descubierto cómo un error técnico puede volverse catastrófico cuando el tiempo lo alimenta en silencio.
Un error que pasó desapercibido durante cinco años
El fallo se originó en la cartera Coldcard Mk3, fabricada por Coinkite, a partir de la versión de firmware 4.0.1, lanzada en marzo de 2021. Durante la generación de la frase semilla —la clave maestra que protege los fondos—, el dispositivo debía usar un generador de números verdaderamente aleatorios por hardware. Sin embargo, un bug silencioso hacía que cayese en un generador pseudoaleatorio por software, mucho más débil y predecible.
Así, los atacantes pudieron reconstruir frases semilla y vaciar monederos que llevaban años inactivos. Los primeros movimientos se detectaron a finales de julio y se intensificaron durante el fin de semana. Coinkite confirmó que el error “pasó desapercibido y su impacto potencial creció con cada nueva versión del producto”.
La firma de análisis Galaxy Research ha rastreado 250 denuncias de víctimas. Los datos son demoledores: la pérdida mediana es de 1,022 BTC y la media de 4,04 BTC por damnificado. Un inversor perdió hasta 58,97 bitcoins. El 88% de las monedas robadas llevaba al menos un año sin moverse y la antigüedad mediana de las carteras alcanzaba los 3,5 años. “Creemos que las pérdidas totales probablemente superan los 130 millones de dólares”, publicó Galaxy en X.
La naturaleza de las víctimas explica la envergadura del golpe: saldos dormidos que rara vez se comprobaban, lo que dio a los hackers tiempo para actuar sin levantar sospechas.
La seguridad de una hardware wallet se desmorona cuando el generador de aleatoriedad no es realmente aleatorio.
El robo tuvo un efecto inmediato en la comunidad. Inversores precavidos empezaron a migrar fondos hacia otras soluciones de almacenamiento, incluidos exchanges centralizados, algo que va contra la filosofía original de “ser tu propio banco”.
¿Qué debes hacer si tienes una Coldcard Mk3?
La recomendación urgente de Coinkite, repetida desde los primeros días del incidente, es tan simple como tajante: actualiza el firmware a la última versión y, en paralelo, mueve los fondos a una cartera segura generada con un dispositivo de confianza. Si el saldo lleva tiempo sin tocarse, es prioritario comprobar que la semilla se creó con un generador de números verdaderamente aleatorio.
Para quienes ya hayan sido víctimas, el margen de actuación es muy reducido. Al tratarse de transacciones en blockchain, la trazabilidad existe pero la recuperación efectiva depende de que los atacantes intenten blanquear los fondos en plataformas con controles KYC. No hay garantías.
El fallo afecta a a los inversores más conservadores, aquellos que eligieron una cartera fría precisamente para evitar riesgos de exchange o custodia de terceros. Paradójicamente, el monedero que debía protegerlos acabó regalando las llaves a los delincuentes.
La fragilidad de la confianza en las carteras físicas
El sector de las carteras de hardware se ha vendido como la opción más segura para custodiar criptoactivos, pero este incidente demuestra que la cadena de confianza puede romperse en el eslabón más inesperado: la generación de la semilla. Si el número de partida no es realmente aleatorio, el resto de la arquitectura de seguridad se derrumba como un castillo de naipes.
No es la primera vez que una cartera fría tropieza con un fallo grave. En 2020, Ledger sufrió una filtración masiva de datos personales de clientes. Más recientemente, investigadores demostraron cómo extraer físicamente la semilla de algunos modelos de Trezor con herramientas especializadas. Pero lo de Coldcard marca un antes y un después: aquí el error fue de fábrica y afectó directamente a la fortaleza criptográfica del producto.
Para el inversor común, la lección es incómoda. Ni siquiera las soluciones más alabadas están exentas de fallos, y la supervisión externa sigue siendo limitada. A esto se suma el hecho de que muchos usuarios nunca verifican cómo se generaron sus claves; basta con encender el dispositivo y aceptar lo que la pantalla muestra.
La reacción del ecosistema vendrá, probablemente, en forma de auditorías más exigentes y de un mayor escrutinio sobre los generadores de aleatoriedad. Mientras tanto, 111 millones de dólares robados sirven como recordatorio de que en cripto la confianza ciega es el peor enemigo.
