Las pérdidas por el hackeo de Coldcard siguen aumentando mientras los analistas discrepan sobre el total de Bitcoin robado

Casi dos semanas después de que los atacantes comenzaran a drenar Bitcoin de las billeteras de hardware Coldcard comprometidas, los investigadores de blockchain siguen trabajando para establecer la magnitud total de lo que los analistas llaman el peor fallo de autocustodia en la historia de Bitcoin. Las estimaciones de las pérdidas totales oscilan entre los 100 y los 130 millones de dólares, aunque la cifra final probablemente seguirá siendo incierta debido a que las víctimas deben autodeclarar sus pérdidas.

Los investigadores discrepan sobre las cifras de pérdidas

Galaxy Research, dirigida por el jefe de investigación de la firma Alex Thorn, situó su mínimo de alta confianza en 1,730 BTC hasta el martes, con un techo potencial cercano a los 1,816 BTC. Thorn declaró a Cointelegraph que más de 450 BTC habían sido confirmados directamente a través de informes de víctimas, lo que a su vez ayudó a identificar a otras víctimas desconocidas que poseían más de 730 BTC en conjunto. TRM Labs estimó de forma independiente que los atacantes drenaron aproximadamente 1,816 BTC de más de 5,200 direcciones en cuatro oleadas, y el jefe global de políticas, Ari Redbord, advirtió que se espera que la cifra siga aumentando.tradingview+1

CryptoQuant adopta un enfoque más estricto basado en la divulgación. Su jefe de investigación, Julio Moreno, dijo que el recuento confirmado de la plataforma se sitúa en 1,432 BTC, describiéndolo como un suelo. "Debido a que el Bitcoin robado pertenecía a individuos y no a una entidad centralizada, como un exchange, solo podemos confirmar lo que cada víctima divulga públicamente", dijo Moreno.crypto-economy+1

Cómo funcionaba el fallo

La vulnerabilidad se remonta a un cambio de firmware en marzo de 2021 que provocó que la generación de semillas de Coldcard eludiera el generador de números aleatorios de hardware del dispositivo, sustituyéndolo por una función de software predecible con tan solo 40 bits de entropía efectiva en lugar de los 128 previstos. Esa reducción hizo que la recuperación de claves por fuerza bruta fuera computacionalmente viable sin acceso físico al dispositivo. Al menos 15 atacantes independientes explotaron la debilidad a partir del 30 de julio, vaciando fondos de miles de billeteras de firma única en rápida sucesión.forbes+3

El desarrollador de Bitcoin James O'Beirne ha dicho que informó sobre el código de aleatoriedad defectuoso a Coinkite en mayo de 2025, más de catorce meses antes de que saliera a la luz el exploit. Según un informe de Phemex, la respuesta de Coinkite fue que el problema probablemente ya se habría manifestado si fuera real.phemex

Consecuencias y respuesta de la industria

Coinkite desplegó un firmware parcheado el 31 de julio, pero advirtió que la actualización no puede mejorar la entropía de las semillas ya generadas. Los usuarios afectados deben crear semillas completamente nuevas y migrar sus fondos. La empresa también revirtió su política de eliminación automática de datos de clientes los días 6 y 7 de agosto, citando "procedimientos legales en curso y previstos", aunque no se ha presentado ninguna demanda públicamente.etfdb+1

El incidente ha reavivado el debate sobre la autocustodia frente a las soluciones institucionales. En Bloomberg Crypto, Thorn dijo que Bitcoin "sobreviviría" a la brecha, calificándolo como un fallo del fabricante y no como un fallo del protocolo. River, la firma de servicios financieros de Bitcoin, se hizo eco de esa distinción: "La vulnerabilidad de Coldcard no afecta al protocolo Bitcoin ni a nada relacionado con el funcionamiento de Bitcoin".bloomberg+2

Aun así, el episodio ha impulsado el capital hacia productos cotizados en bolsa. Los ETF de Bitcoin al contado registraron 853 millones de dólares en entradas netas durante la semana que finalizó el 7 de agosto, la cifra semanal más fuerte desde mediados de abril. El iShares Bitcoin Trust de BlackRock ↗ 1.05% captó la mayor parte de esos flujos.cryptorank+1

Para los titulares que aún utilizan dispositivos afectados, el mensaje de los investigadores es inequívoco: actualizar el firmware por sí solo no es suficiente. Solo una semilla recién generada en un firmware parcheado confirmado asegura los fondos restantes.phemex+1