Exploit en Coldcard supera los 114 millones de dólares: falla de cinco años sacude la confianza en las billeteras frías de Bitcoin
Lo que comenzó como un incidente aislado se ha convertido en uno de los episodios de seguridad más graves del ecosistema Bitcoin en años recientes. El exploit sobre las billeteras físicas Coldcard ya acumula pérdidas que podrían superar los 114 millones de dólares, según estimaciones de firmas de análisis blockchain, y el ataque parece no haber terminado: investigadores advierten sobre la posible llegada de una cuarta oleada de robos.
¿Qué falló exactamente en Coldcard?
La vulnerabilidad, según reveló el jefe de seguridad de Kraken, lleva al menos cinco años presente en el firmware del dispositivo sin que nadie la detectara. El problema radica en la forma en que se generan los números aleatorios que protegen las claves privadas de los usuarios. Las auditorías de seguridad verificaban que el componente encargado de generar aleatoriedad existía en el código, pero nadie comprobó que realmente fuera invocado durante la operación. Ese descuido aparentemente menor abrió una puerta que los atacantes terminaron por explotar con consecuencias devastadoras.
Las billeteras físicas, conocidas en inglés como hardware wallets o billeteras frías, son consideradas el estándar de seguridad para quienes desean guardar grandes cantidades de criptomonedas fuera del alcance de internet. La premisa es simple: si las claves nunca tocan una red, no pueden ser robadas remotamente. El caso Coldcard demuestra que esa protección depende enteramente de la calidad del hardware y del software interno del dispositivo.
Cuatro oleadas de ataques y un contador que sigue corriendo
Los investigadores de Galaxy Research, encabezados por Alex Thorn, documentaron al menos tres oleadas confirmadas de retiros forzados que afectaron a más de 4.500 direcciones y drenaron aproximadamente 1.367 BTC. Las transacciones pendientes detectadas en la red sugieren que una cuarta ronda podría estar en curso o a punto de ejecutarse.
Thorn advirtió que algunos usuarios aún tienen una ventana muy estrecha para actuar: si su dirección aparece en el mempool —la sala de espera de transacciones de Bitcoin— con una transacción no confirmada hacia los atacantes, podrían intentar reemplazarla enviando una nueva con una comisión más alta hacia una dirección propia. Se trata de un mecanismo técnico conocido como RBF (Replace-by-Fee), y el tiempo disponible se mide en minutos.
El mercado reacciona, pero con más calma de lo esperado
A pesar de la magnitud del incidente, la reacción del mercado ha sido relativamente contenida. Bitcoin cayó por debajo de los 63.000 dólares durante la jornada del 3 de agosto, aunque analistas señalan que el descenso podría haber sido mucho más pronunciado considerando el daño reputacional que implica un fallo de esta naturaleza en uno de los productos de custodia más populares del mercado.
Las noticias positivas en el frente geopolítico —avances en conversaciones diplomáticas entre Estados Unidos e Irán que redujeron temporalmente la presión inflacionaria— no lograron compensar el deterioro del sentimiento inversor ligado al exploit.
Bitcoin hacia los exchanges: la reacción opuesta al colapso de FTX
Un dato llamativo que arroja el análisis de comportamiento on-chain es el movimiento de fondos desde billeteras personales hacia exchanges centralizados. Las transferencias de menos de un Bitcoin alcanzaron niveles no vistos desde los días posteriores al colapso de FTX en noviembre de 2022. Sin embargo, el sentido del flujo es opuesto: mientras que tras la caída de FTX los usuarios retiraban fondos de los exchanges hacia sus propias billeteras por desconfianza en las plataformas, ahora los están depositando en exchanges porque ya no confían en la custodia propia.
Es un giro de 180 grados en la percepción de riesgo que refleja cuánto puede erosionar la confianza un incidente de esta clase.
Bitcoin no fue hackeado: la aclaración necesaria
El inversor y emprendedor Anthony Pompliano salió públicamente a aclarar un punto que generó confusión en medios generalistas: el protocolo de Bitcoin no fue comprometido en ningún momento. La vulnerabilidad reside exclusivamente en el hardware y el software de Coldcard, un producto de terceros. Bitcoin siguió funcionando exactamente como fue diseñado; el problema estuvo en la herramienta utilizada para interactuar con él.
La distinción importa, especialmente en momentos de alta tensión, cuando la desinformación puede amplificar el miedo y provocar decisiones precipitadas entre inversores menos experimentados.
Un recordatorio costoso sobre la seguridad en cripto
El episodio deja una lección clara para el ecosistema: la seguridad de una billetera física no se garantiza solo con tenerla. Depende de auditorías rigurosas, actualizaciones constantes y una cultura de revisión que vaya más allá de confirmar que un componente existe en papel. Para los usuarios afectados, el daño ya está hecho. Para el resto, la pregunta obligada es cuándo fue la última vez que verificaron el firmware de su propio dispositivo.