Falla en billeteras Coldcard provoca robo de 70 millones de dólares en Bitcoin: qué pasó y quiénes están en riesgo
Lo que parecía imposible acaba de ocurrir: una vulnerabilidad en uno de los dispositivos de almacenamiento de Bitcoin más reconocidos del mercado dejó a cientos de usuarios sin sus fondos. El incidente, que involucra a las billeteras físicas Coldcard del fabricante canadiense Coinkite, ya acumula pérdidas estimadas en torno a los 70 millones de dólares, según cifras actualizadas de Galaxy Research. El caso ha sacudido los cimientos de la llamada «autocustodia», el principio que impulsa a los usuarios a guardar sus propias criptomonedas sin depender de exchanges ni terceros.
El error que convirtió claves «imposibles» en adivinables
Para entender qué falló, hay que partir de un concepto básico: cuando una billetera de hardware genera una frase semilla —la combinación de palabras que protege todos los fondos almacenados—, necesita producir números verdaderamente aleatorios. Si ese proceso de aleatoriedad es predecible o defectuoso, la seguridad de la billetera se desmorona por completo.
Eso fue exactamente lo que ocurrió con ciertos modelos Coldcard, en particular el Mk3. Un error en el software encargado de generar esa aleatoriedad producía frases semilla que, en teoría imposibles de adivinar, resultaban ser mucho más fáciles de calcular para quien conociera el defecto. Un atacante aprovechó esta debilidad y, en una operación que duró apenas 25 minutos, vació sistemáticamente cientos de direcciones comprometidas.
Según el análisis de Galaxy Research, cerca de 1.200 direcciones de Bitcoin fueron afectadas, con un total de más de 1.000 BTC sustraídos. El robo, ejecutado el 30 de julio, fue quirúrgico y coordinado: el atacante sabía exactamente a dónde apuntar.
La respuesta de Coinkite y las advertencias en curso
Ante la magnitud del problema, el cofundador y CEO de Coinkite lanzó un mensaje directo a los usuarios del modelo Mk3: muevan sus fondos de inmediato. La empresa confirmó que el riesgo está relacionado con la generación de semillas en ese modelo específico y urgió a quienes lo utilicen a transferir sus activos a una billetera generada con un dispositivo diferente o con software actualizado.
Coinkite aclaró que los modelos más recientes de Coldcard no presentan esta vulnerabilidad, aunque el daño a la reputación del producto ya está hecho. Para muchos usuarios, la confianza depositada durante años en estos dispositivos —considerados referencia en el sector— quedó profundamente cuestionada en cuestión de horas.
CZ pide diversificación; el debate sobre la autocustodia se reabre
El fundador de Binance, Changpeng Zhao, conocido como CZ, fue uno de los primeros en reaccionar públicamente. A través de sus redes sociales, recordó que ningún dispositivo está libre de errores y recomendó distribuir los fondos entre múltiples billeteras en lugar de concentrarlos en una sola. El consejo, aunque sensato, resulta llamativo viniendo de quien dirige uno de los mayores exchanges centralizados del mundo.
El incidente también reabrió un debate más profundo dentro de la comunidad cripto: ¿está la autocustodia al alcance del usuario promedio? Gestionar claves privadas exige conocimientos técnicos, disciplina y, como quedó demostrado, una confianza plena en el hardware utilizado. Cuando esa confianza se rompe, las consecuencias son irreversibles: a diferencia de un banco, no existe un número al que llamar para recuperar los fondos.
Algunos analistas señalan que episodios como este podrían acelerar el interés de inversores minoristas por productos como los ETF de Bitcoin al contado, donde la custodia queda en manos de instituciones reguladas. La paradoja es evidente: el mismo argumento que impulsó la adopción de billeteras físicas —»no tus llaves, no tus monedas»— ahora enfrenta su mayor prueba de estrés.
¿Qué deben hacer los usuarios de Coldcard ahora?
Si utilizas un Coldcard Mk3, la recomendación es clara y urgente: transfiere tus fondos cuanto antes a una dirección nueva generada con un dispositivo o software que no esté afectado por esta vulnerabilidad. No esperes a tener más información; en este caso, el tiempo importa.
Para cualquier usuario de billeteras de hardware en general, este caso refuerza varias lecciones: mantener el firmware siempre actualizado, verificar la autenticidad del dispositivo al comprarlo, y nunca almacenar todos los activos en un único lugar. La descentralización, al final, aplica también a la propia seguridad personal.
El episodio de Coldcard no es el primero fallo de seguridad en el ecosistema cripto, y probablemente no será el último. Pero su escala y la velocidad con la que se ejecutó el robo lo convierten en un recordatorio contundente: en el mundo de las criptomonedas, la seguridad nunca puede darse por sentada.