Un atacante explotó un fallo crítico en los monederos hardware de Coldcard para barrer 594 bitcoins, por un valor aproximado de 38 millones de dólares, de unos 500 monederos en solo 25 minutos. El robo, detallado en un informe de CoinDesk, ocurrió en la madrugada del 31 de julio de 2026 (UTC) en 500 monederos de firma única, cada uno con más de 0,15 BTC, muchos de ellos inactivos desde 2021.
Cómo la vulnerabilidad socavó la generación de claves
El error se introdujo en la versión 4.0.0 del firmware Coldcard Mk3, lanzada en marzo de 2021. Provocó que los dispositivos omitieran su generador de números aleatorios por hardware y, en su lugar, recurrieran a una rutina predecible basada en software, alimentada con identificadores de chip no secretos. Esto hizo que las frases semilla de los monederos —normalmente consideradas imposibles de adivinar— fueran recuperables por un adversario. La debilidad recuerda a otras vulnerabilidades de alto riesgo en Bitcoin, como la del colapso del 99 % de la stablecoin Balance tras un exploit del oráculo de precios, donde un fallo en la fijación de precios provocó pérdidas catastróficas.
En una única ventana de tres bloques, el atacante transmitió 1.324 fragmentos de bitcoin en 500 transacciones y posteriormente consolidó 562 BTC en una dirección que permanece sin movimiento. Coinkite, el fabricante, advirtió a los usuarios que generaron semillas en dispositivos Mk3 con firmware 4.0.1 o posterior; los modelos Mk4, Q y Mk5 parecen no estar afectados.
Reacción del mercado e implicaciones para la seguridad de los usuarios
A pesar de la gravedad de la pérdida, el incidente tuvo poco impacto visible en el precio de mercado de bitcoin, que ya ha resistido excedentes de oferta a mayor escala, demostrando la resistencia del activo en situaciones como la reciente pérdida de 8.200 millones de dólares de Strategy debido a la caída de Bitcoin. El robo subraya la importancia de utilizar una generación de claves moderna y multifactorial, y pone de relieve los esfuerzos continuos del sector para reforzar la seguridad de Bitcoin, como la iniciativa de BlackRock, Coinbase y Strategy de crear un grupo que comprometió 15 millones de dólares para preparar a Bitcoin frente a amenazas cuánticas. Mientras tanto, la incertidumbre regulatoria sigue siendo un factor relevante, como destacamos en nuestro análisis sobre la disminución de las probabilidades del Clarity Act según JPMorgan.
Se insta a los usuarios con dispositivos Coldcard Mk3 que crearon semillas durante la ventana de firmware afectada a mover inmediatamente los fondos que queden. La naturaleza silenciosa del exploit —dirigido a monederos inactivos durante mucho tiempo— sirve como recordatorio de que incluso el almacenamiento en frío requiere actualizaciones de firmware diligentes y una higiene en la generación de semillas.
