Hack de Coldcard: cómo una bandera de compilación drenó 116 millones en bitcoins

Una sola línea de firmware enviada en marzo de 2021 le dijo a cada hardware wallet Coldcard que omitiera su chip de aleatoriedad dedicado. Durante cinco años nadie lo notó. Luego, un atacante forzó por fuerza bruta las semillas débiles en 41 minutos, drenando 1,816 BTC de más de 5,200 direcciones en cuatro oleadas de ataque. El incidente es el mayor exploit de hardware wallet en la historia de las criptomonedas, y está obligando a todo el modelo de autocustodia de bitcoin a responder una pregunta que ha evitado desde su inicio: ¿quién audita el código que genera tus claves?

Nadie fue víctima de phishing. Ningún dispositivo fue robado. Ninguna frase semilla fue escrita en una nota adhesiva. El hardware wallet Coldcard, el dispositivo que los maximalistas de bitcoin recomendaban por encima de todos los demás para almacenamiento en frío, generó claves privadas débiles durante cinco años porque una sola bandera de compilación le dijo al firmware que omitiera su chip de aleatoriedad dedicado. Un atacante descubrió cómo adivinar las semillas resultantes, y el 30 de julio de 2026 comenzó a vaciar billeteras a un ritmo que no dejó tiempo para reaccionar.

"Quizás la parte más difícil de esto es que hice todo bien", escribió el empresario canadiense Jonathan Goodman en X después de perder 18.25 BTC, valorados en aproximadamente C$1.6 millones, de un Coldcard guardado en una caja de seguridad. Su publicación ha sido vista más de 7.6 millones de veces. El sentimiento captura el núcleo de la crisis: las personas que perdieron dinero no fueron descuidadas. Eran los tenedores de bitcoin más conscientes de la seguridad en el ecosistema, y siguieron todas las prácticas recomendadas excepto una que no podían haber conocido. El firmware que generó sus claves estaba roto desde el día en que se envió.

Las consecuencias se extienden mucho más allá de las pérdidas inmediatas. Bitcoin está fluyendo de vuelta a los intercambios por primera vez desde el colapso de FTX. Los fabricantes de hardware wallets enfrentan llamados para auditorías independientes de su código de generación de semillas. El director de investigación de activos digitales de ARK Invest llamó al espacio de hardware de autocustodia "un desastre". Y el CEO de Coinkite sugirió que la inteligencia artificial encontró el error, planteando la pregunta de si cada repositorio de firmware de código abierto es ahora una superficie de ataque que la IA puede explotar más rápido de lo que los revisores humanos pueden defender.

La bandera de compilación: cómo una línea de código rompió todo

La falla técnica es lo suficientemente simple como para explicarla en un solo párrafo, lo que la hace más dañina, no menos. El firmware de Coldcard define una macro llamada MICROPY_HW_ENABLE_RNG y la establece en cero porque Coinkite proporciona su propio envoltorio de generador de números aleatorios por hardware. Una biblioteca criptográfica de soporte llamada libngu verificaba si la macro existía. No verificaba si la macro estaba habilitada. Debido a que la macro existía pero estaba establecida en cero, libngu concluyó que la aleatoriedad por hardware no estaba disponible y recurrió al respaldo de software Yasmarang de MicroPython. Ese respaldo se inicializaba desde el número de serie único del chip y los registros del temporizador y no recopilaba entropía fresca después de la inicialización.

La consecuencia fue una reducción catastrófica en la fortaleza de la clave. Una frase semilla BIP-39 de 12 palabras está diseñada para codificar 128 bits de entropía, un número tan grande que forzarlo por fuerza bruta requeriría más energía de la que el sol producirá en su vida. El respaldo Yasmarang, sembrado desde un número de serie del chip y el estado del temporizador, produjo aproximadamente 40 bits de entropía efectiva en el Mk3 y aproximadamente 72 bits en el Mk4, Mk5 y Q. El equipo de investigación de seguridad de Block, que publicó un análisis técnico detallado, estableció límites condicionales por debajo de 2^40.7 y 2^73.3 y advirtió que la última cifra no es equivalente a seguridad criptográfica de 73 bits.

Cuarenta bits de entropía significan aproximadamente un billón de semillas posibles. Ese es un número grande según la intuición humana, pero trivial según los estándares computacionales. Un clúster moderno de GPU puede enumerar un billón de candidatos en horas. El atacante no necesitó acceso físico a ningún dispositivo. El atacante no necesitó interceptar ninguna comunicación. El atacante solo necesitó generar semillas candidatas, derivar sus direcciones de bitcoin correspondientes y comparar esas direcciones contra la cadena de bloques pública. Cada coincidencia era una billetera que podía vaciarse.

La falla se incluyó en la versión de firmware 4.0.1 en marzo de 2021. Persistió a través de cada versión de firmware posterior hasta el parche de emergencia del 31 de julio de 2026. Cada semilla de Coldcard generada durante esa ventana de cinco años sin la opción manual de lanzamiento de dados está potencialmente comprometida. Coinkite estima que la opción de lanzamiento de dados, donde los usuarios lanzan físicamente dados al menos 50 veces y escriben los resultados, evita por completo el código defectuoso. La compañía también dice que una frase de contraseña BIP-39 fuerte crea una billetera separada a la que las palabras semilla solas no pueden acceder. Pero como señaló Nick Neuman, CEO de Casa: "Simplemente no puedes pedirle a la gente que lance dados para estar seguros con tu autocustodia. Es un obstáculo para el 99% de las personas".

Las cuatro oleadas: anatomía de un barrido de $116 millones

El ataque se desarrolló en oleadas distintas, cada una más grande que la anterior, lo que sugiere ya sea un solo operador refinando su enfoque o múltiples atacantes trabajando desde la misma vulnerabilidad.

La primera oleada ocurrió el 30 de julio aproximadamente a las 2:14 a.m. UTC. El atacante barrió 594 BTC de aproximadamente 500 direcciones en 25 minutos, transmitiendo transacciones a una tarifa uniforme de 30 sat/vB sin salidas de cambio. Galaxy Research señaló que ninguna otra transacción de bitcoin en los 30 días anteriores llevaba la misma firma de tarifa más sin cambio, lo que hace identificable al operador aunque permanezca anónimo.

La segunda oleada siguió dentro de las 48 horas, elevando el total acumulado a 1,082 BTC de 1,196 direcciones. La construcción de las transacciones coincidió estrechamente con la primera oleada, lo suficiente para que Galaxy evaluara con alta confianza que el mismo operador era responsable.

La tercera oleada llevó el total confirmado a 1,367 BTC de 4,585 direcciones, con un valor aproximado de $89 millones. Galaxy advirtió que no se debe asumir que la tercera oleada involucra al mismo atacante, ya que los patrones de transacción divergieron de las dos primeras oleadas. TRM Labs identificó de forma independiente diferencias en la construcción de transacciones entre oleadas que insinúan múltiples operadores.

Una sospechosa cuarta oleada se desarrolló durante el 4 de agosto, barriendo aproximadamente 449 BTC de 709 direcciones según el recuento revisado de Galaxy. Si se confirma, las pérdidas acumuladas alcanzan aproximadamente 2,055 BTC, con un valor cercano a los $130 millones. Galaxy ha informado aproximadamente 600 direcciones sospechosas controladas por atacantes a investigadores federales, firmas de cumplimiento e investigadores de ciberseguridad.

El lavado ha sido mínimo. TRM Labs encontró que la mayoría de los fondos de las víctimas se están acumulando en un pequeño número de direcciones controladas por atacantes con movimiento limitado hacia adelante. Hasta el 4 de agosto, el único lavado confirmado consistía en un solo depósito de 64.9 BTC al servicio de coinjoin de Wasabi Wallet y 200 ETH depositados en Tornado Cash. Un oportunista publicó un mensaje OP_RETURN en la cadena de bloques de bitcoin ofreciendo lavar los fondos robados por una tarifa del 7%. La relativa inacción sugiere que los atacantes aún no han determinado cómo mover una suma lo suficientemente grande como para atraer la atención dondequiera que aterrice.

La sección que un competidor no podría escribir: lo que realmente significan 40 bits de entropía

La mayoría de la cobertura del hackeo de Coldcard describe la reducción de entropía como un detalle técnico. Es toda la historia, y la aritmética revela por qué el ataque era inevitable en lugar de meramente posible.

Una semilla de 128 bits tiene 2^128 valores posibles, un número con 39 dígitos. Forzar ese espacio por fuerza bruta no es una cuestión de poder computacional o paciencia. Es físicamente imposible con cualquier tecnología que obedezca las leyes de la termodinámica. Esta es la razón por la que las billeteras de hardware funcionan en absoluto: la seguridad de una semilla generada correctamente no depende de que el dispositivo permanezca en secreto, de que el firmware permanezca sin comprometer, o de que el fabricante permanezca confiable. Depende de las matemáticas.

Una semilla de 40 bits tiene 2^40 valores posibles: 1.099.511.627.776. Un billón. Una sola GPU NVIDIA H100 puede calcular aproximadamente 10 mil millones de hashes SHA-256 por segundo. Derivar una dirección de bitcoin de una semilla candidata requiere varias operaciones criptográficas más allá de un solo hash, pero el orden de magnitud se mantiene. Un billón de candidatos puede agotarse en minutos u horas en un clúster de GPU que cuesta unos pocos miles de dólares de alquiler.

Los dispositivos Mk4, Mk5 y Q tenían aproximadamente 72 bits de entropía efectiva. Eso es mejor que 40 bits, pero sigue siendo catastróficamente inferior a 128 bits. El análisis de Block estableció el espacio de búsqueda en aproximadamente cuatro mil millones de posibilidades bajo ciertas restricciones, un número que se ejecuta en hardware ordinario. La distinción importa: los propietarios de Mk3 enfrentan un compromiso casi seguro si sus direcciones son identificadas, mientras que los propietarios de modelos posteriores enfrentan una amenaza probabilística que depende de cuánto sepa el atacante sobre el ID único de su dispositivo, el tiempo de arranque y las llamadas anteriores al generador de números aleatorios.

La idea crítica es que el atacante no necesita saber qué direcciones pertenecen a los usuarios de Coldcard. Cada dirección de bitcoin es pública. El atacante genera semillas candidatas, deriva direcciones y las verifica contra toda la cadena de bloques. Cualquier coincidencia es una billetera Coldcard confirmada con una semilla débil. El ataque escala linealmente con la potencia de cómputo y no requiere inteligencia sobre víctimas individuales. Galaxy Research advirtió que "cada dispositivo vulnerable eventualmente será vaciado" porque el atacante puede recorrer todo el espacio de búsqueda con calma.

Esto es fundamentalmente diferente de un ataque de phishing, un hackeo de intercambio o un compromiso de la cadena de suministro. Esos ataques requieren apuntar a víctimas específicas. El exploit de Coldcard apunta a las matemáticas. Cada billetera generada en firmware afectado es vulnerable independientemente de cuán cuidadosamente el propietario haya almacenado el dispositivo, protegido la frase semilla o seguido las mejores prácticas de seguridad. La única defensa era una acción que el fabricante nunca dijo a los usuarios que necesitaban tomar: lanzar dados físicos.

La reversión de la autocustodia: bitcoin fluye de vuelta a los intercambios

El exploit de Coldcard está produciendo un cambio de comportamiento que habría sido impensable hace 18 meses. Bitcoin se está moviendo de billeteras de autocustodia de vuelta a intercambios centralizados, revirtiendo una tendencia que comenzó cuando FTX colapsó en noviembre de 2022 y se aceleró durante 2023 y 2024 a medida que las ventas de billeteras de hardware aumentaron.

La transferencia neta de bitcoin de billeteras de autocustodia a direcciones de intercambio ha sido positiva todos los días desde el 31 de julio, según datos de flujo en cadena. OKX reportó entradas récord al intercambio en los días posteriores al exploit. El director de cumplimiento del intercambio, Jonathan Brockmeier, dijo que el comportamiento de los clientes cambió "notablemente" a medida que los usuarios movieron activos fuera de la autocustodia.

La reversión del flujo no se limita a los tenedores minoristas en pánico. Los asignadores institucionales que anteriormente citaban la autocustodia como una ventaja de gestión de riesgos están reevaluando. Las entradas de ETF de bitcoin alcanzaron los $211.5 millones el 5 de agosto, lideradas por IBIT de BlackRock y FBTC de Fidelity, lo que sugiere que al menos parte del capital está rotando de tenencias directas de bitcoin a envoltorios regulados que eliminan por completo el riesgo de gestión de semillas.

El analista senior de ETF de Bloomberg, Eric Balchunas, argumentó que los ETF de bitcoin al contado eliminan el problema de gestión de semillas para los inversores que quieren exposición al precio sin riesgo operativo. "Un ETF arregla esto", escribió. El analista en cadena Willy Woo respondió, argumentando que la autocustodia sigue siendo el único camino hacia la propiedad genuinamente soberana de bitcoin y que los envoltorios de ETF introducen riesgo de contraparte que la red de bitcoin fue diseñada para eliminar.

Los datos cuentan una historia más específica de lo que cualquiera de los lados reconoce. Las direcciones que mueven bitcoin de vuelta a los intercambios se inclinan hacia billeteras de firma única que contienen entre 0.5 y 10 BTC, el rango que más probablemente representa a tenedores individuales que usaron un solo Coldcard como su almacenamiento principal. Las billeteras multifirma y las direcciones asociadas con custodios institucionales no han mostrado un movimiento comparable. El pánico se concentra en el perfil de usuario exacto para el que fue diseñado Coldcard: individuos técnicamente alfabetizados que eligieron la autocustodia sobre los intercambios y confiaron en un solo dispositivo de hardware como su única capa de seguridad. La ironía es precisa. Los usuarios que más confiaron en el hardware son los más expuestos, mientras que los usuarios que distribuyeron la confianza en múltiples dispositivos y métodos de generación de claves no se ven afectados.

La tensión es real, pero el encuadre es incompleto. El hackeo de Coldcard no expuso una falla en la autocustodia como concepto. Expuso una falla en la implementación de generación de semillas de un fabricante. Vincent Bouzon, experto en ciberseguridad de Ledger, hizo la distinción explícitamente: "Toda billetera depende en última instancia de un secreto raíz generado a partir de entropía de alta calidad. Esa generación debe estar anclada en hardware seguro, con una arquitectura que no pueda degradarse silenciosamente a una fuente basada en software no confiable". Llamó a las alternativas peores, describiendo las billeteras de software en hardware no seguro como más riesgosas y la custodia centralizada en intercambios como "no es propiedad, es un pagaré".

La pregunta de la IA: ¿encontró un modelo este error?

La respuesta de Coinkite al exploit incluyó una afirmación que ha dividido a la comunidad de seguridad. El CEO Rodolfo Novak, conocido como NVK, sugirió que el atacante utilizó IA para descubrir la falla del firmware, y que la propia revisión de código asistida por IA de Coinkite del mismo repositorio semanas antes no había encontrado nada.

"Para todos los demás desarrolladores: creemos que esta es una realidad sobria del nuevo paradigma de la IA", escribió Novak. "La revisión de código asistida por IA ahora puede encontrar errores latentes a una velocidad que supera incluso a los expertos más experimentados de la industria". Añadió: "Si tu firmware es de código abierto o alguna vez ha sido público, asume que ya está siendo leído tanto por atacantes como por defensores".

Los investigadores de seguridad han rechazado este encuadre. Un indicador de compilación que desactiva un generador de números aleatorios por hardware es un error de ingeniería humana, argumentan, y la revisión de código convencional debería haberlo detectado años antes de que cualquier modelo de lenguaje leyera el repositorio. Andrew Lazutkin, director de tecnología de Tangem, sacó una conclusión diferente: "Este incidente es un buen ejemplo de por qué el firmware de código abierto no debería equipararse automáticamente con una mejor seguridad".

La atribución a la IA importa menos que la cuestión estructural que plantea. Ya sea que el atacante usara IA, análisis estático convencional o revisión manual, el resultado es el mismo: un error que estuvo a la vista durante cinco años en un repositorio de código abierto fue encontrado y armado. Si las herramientas de IA pueden escanear sistemáticamente repositorios de firmware en busca de fallas de entropía, rutas de degradación de aleatoriedad y errores de configuración de compilación, entonces cada fabricante de carteras de hardware con código público enfrenta una superficie de ataque ampliada. La pregunta no es si la IA estuvo involucrada en este ataque específico. La pregunta es si la IA hace que esta clase de ataque sea reproducible a escala.

La línea de tiempo respalda la preocupación independientemente del mecanismo. El firmware de Coldcard ha sido de código abierto desde su inicio. La macro MICROPY_HW_ENABLE_RNG y su asignación a cero fueron visibles en un repositorio público de GitHub durante cinco años. Múltiples investigadores de seguridad, auditores de firmware y la comunidad más amplia de desarrollo de Bitcoin tuvieron acceso al código durante ese período. Ninguno de ellos detectó la falla. El grupo de investigación Coinspect publicó sus hallazgos de Ill Bloom sobre fallas débiles de PRNG en carteras de software más antiguas a principios de julio de 2026, una vulnerabilidad separada pero temáticamente idéntica que drenó más de 5 millones de dólares de direcciones en Bitcoin, Ethereum, Tron, Rootstock y Polygon. La agrupación de exploits relacionados con la entropía en un solo mes sugiere una investigación coordinada o un enfoque analítico compartido que está sacando a la luz esta clase de error más rápido de lo que se ha encontrado históricamente.

El caso contrario en toda su fuerza

La narrativa se escribe sola: la autocustodia está rota, las carteras de hardware no son confiables, mueve tu bitcoin a un exchange o a un ETF. El caso contrario requiere examinar qué demostró realmente el hackeo de Coldcard y qué no.

Primero, esto no fue un fallo de la autocustodia. Fue un fallo de la ingeniería de firmware de una empresa. El protocolo de bitcoin funcionó exactamente como fue diseñado. La criptografía funcionó exactamente como fue diseñada. La vulnerabilidad existía en la configuración de compilación de Coinkite, no en el modelo de seguridad de las carteras de hardware como categoría. Ledger, Trezor y Block han confirmado que sus dispositivos no están afectados. La lección es que la generación de semillas debe verificarse de forma independiente, no que la generación de semillas sea inherentemente poco confiable.

Segundo, la alternativa del exchange conlleva sus propios riesgos catastróficos. FTX perdió 8 mil millones de dólares en fondos de clientes. Mt. Gox perdió 850,000 BTC. Celsius, Voyager y BlockFi perdieron colectivamente miles de millones más. El exploit de Coldcard drenó 116 millones de dólares en 5,200 direcciones durante cinco días. FTX drenó 8 mil millones de dólares de millones de usuarios en una sola noche. La comparación de escala favorece a la autocustodia incluso en su peor modo de fallo.

Tercero, las configuraciones de multifirma habrían prevenido todos los robos en esta explotación. Una billetera multifirma requiere múltiples claves independientes para autorizar una transacción. Si incluso una clave se generó en un dispositivo que no fuera Coldcard, el atacante no podría haber completado el barrido. Casa, Unchained y otros proveedores de multifirma han reportado cero pérdidas de clientes por la explotación de Coldcard porque sus arquitecturas distribuyen la generación de claves entre dispositivos diseñados independientemente de diferentes fabricantes. Una billetera multifirma 2-de-3 que use un Coldcard, un Ledger y un Trezor habría sido inmune a este ataque incluso si la clave de Coldcard estuviera completamente comprometida, porque el atacante aún necesitaría comprometer independientemente una de las otras dos claves. El hackeo de Coldcard es un argumento a favor de la multifirma, no un argumento en contra de la autocustodia.

Cuarto, la reacción del precio de bitcoin socava el encuadre catastrófico. Bitcoin se negoció cerca de $64,300 durante las cuatro oleadas de ataques y no ha caído por debajo de $63,800 desde que la explotación se hizo pública. El mercado está valorando el hackeo de Coldcard como un evento específico de la empresa, no como una amenaza sistémica al modelo de seguridad de bitcoin. Si el mercado creyera que la autocustodia está fundamentalmente rota, la respuesta del precio habría sido severa. No lo fue.

Qué invalidaría la tesis de la autocustodia: si se descubriera que múltiples fabricantes de monederos hardware tienen la misma clase de fallo de entropía simultáneamente, lo que sugeriría un fallo sistémico en lugar de idiosincrásico. Si la superficie de ataque se expande para incluir dispositivos con generadores de números aleatorios por hardware que pasan todas las pruebas existentes pero contienen sesgos sutiles. O si la carga operativa de la gestión de claves resulta permanentemente más allá de la capacidad de los usuarios individuales, haciendo que la custodia profesional sea la única opción viable para la mayoría de los tenedores de bitcoin, independientemente de las ventajas teóricas de seguridad de la autocustodia.

Qué observar

• El recuento final de pérdidas de Galaxy Research después de la confirmación de la cuarta ola. La brecha entre 1.596 BTC (confirmados) y 2.055 BTC (estimados) representa aproximadamente 30 millones de dólares en pérdidas no verificadas. Si se confirma la cuarta ola y siguen olas adicionales, el total podría superar los 150 millones de dólares y superar en impacto al exploit de ceguera de firmas de Bybit en 2025.
• Movimiento en cadena del bitcoin controlado por el atacante. Aproximadamente el 90% de los fondos robados permanecen sin mover. Cuando el atacante comience a lavar, el método elegido (mezcla, puentes entre cadenas, mesas OTC) indicará el nivel de sofisticación y potencialmente permitirá la atribución. TRM Labs está monitoreando en tiempo real.
• Tendencias de flujo de entrada a los exchanges en los próximos 30 días. La reversión del flujo posterior a Coldcard podría ser una respuesta de pánico temporal o el comienzo de un cambio estructural. Si los flujos netos de regreso a los exchanges persisten más allá de agosto, sugiere un cambio duradero en cómo los tenedores de bitcoin sopesan el riesgo de autocustodia frente al riesgo de contraparte.
• Adopción de auditorías independientes por parte de los fabricantes de monederos hardware. El CSO de Kraken, Nick Percoco, pidió pruebas independientes de la generación de semillas en el firmware de producción. Si Ledger, Trezor y otros fabricantes adoptan auditorías de entropía de terceros como práctica estándar, valida la preocupación sistémica. Si no lo hacen, la industria está apostando a que la misma clase de error no aparecerá en otro lugar.
• Respuesta regulatoria al fallo de autocustodia. La SEC y la CFTC no han comentado sobre el exploit de Coldcard. Si los reguladores usan el incidente para argumentar que la autocustodia no es adecuada para inversores minoristas, podría acelerar el impulso hacia marcos de custodia obligatorios para activos digitales.

Preguntas frecuentes