Un fallo de firmware en los monederos Coldcard permitió a atacantes robar 70 millones de dólares en Bitcoin (BTC), lo que llevó a Changpeng Zhao (CZ) a advertir que el almacenamiento en frío tampoco es infalible.
Claves del caso:
- Investigadores rastrearon 1.082,65 BTC procedentes de 1.196 monederos durante un barrido de solo 41 minutos el 30 de julio.
- CZ recomendó a los inversores repartir sus fondos entre varios monederos.
- El fabricante publicó un firmware corregido, pero los usuarios deben sustituir las semillas generadas con las versiones afectadas.
Fuga masiva de Bitcoin en Coldcard
Investigadores de Galaxy Research y Block rastrearon el robo desde 1.196 monederos durante un barrido que se ejecutó entre la 1:10 a. m. y la 1:51 a. m. UTC del 30 de julio. El total alcanzó los 1.082,65 BTC, casi el doble de las primeras estimaciones.
Galaxy señaló que la actividad se concentró en seis bloques, con tres bloques intermedios sin movimientos relacionados, lo que apunta a que los atacantes emitieron las transacciones por lotes. El atacante nunca necesitó acceder físicamente a los dispositivos. A 1 de agosto, los fondos sustraídos seguían concentrados en cuatro direcciones.
La vulnerabilidad se originó en un cambio de software de marzo de 2021, que desvió la generación de semillas del generador de números aleatorios de hardware previsto hacia un mecanismo de reserva más predecible. Coinkite calculó una seguridad efectiva de unos 40 bits en los dispositivos Mk3 y de unos 72 bits en los modelos posteriores afectados.
También te puede interesar: SpaceX se prepara para un posible shock de oferta al desbloquearse 911,5 millones de acciones
La advertencia de CZ sobre los monederos
Changpeng Zhao, fundador y ex CEO de Binance, señaló que el incidente demuestra que un largo historial operativo no elimina el riesgo de software. “Incluso los monederos hardware pueden tener fallos”, escribió. Aconsejó a los usuarios dividir sus fondos entre varios monederos, aunque reconoció que esta estrategia introduce otros tipos de riesgo.
Esa diversificación tampoco está exenta de peligros. Más monederos implican más copias de seguridad y procedimientos de recuperación, de modo que se reduce el riesgo de concentración, pero aumenta la probabilidad de errores operativos.
Coinkite publicó firmware corregido para los dispositivos Mk3, Mk4, Mk5 y Q, aunque una simple actualización no puede reforzar una semilla ya generada con baja entropía. La empresa afirmó que al menos 50 tiradas de dados manuales bastan para proteger las semillas frente a este fallo concreto. Los demás usuarios afectados deberían crear una nueva semilla, verificarla primero con una transacción de prueba y, solo entonces, migrar el resto de los fondos.
Block también incluyó el antiguo modelo Mk2 como potencialmente expuesto, mientras que la nota de Coinkite no lo mencionaba. Los propietarios no pueden comprobar directamente si su semilla es débil, y los investigadores alertan de que pueden producirse nuevos barridos mientras haya fondos en monederos vulnerables.
La falla se introdujo en el proceso de generación de semillas de Coldcard en marzo de 2021 y se mantuvo en las versiones afectadas hasta que se desplegaron parches de emergencia a finales de julio de 2026. Este periodo de cinco años explica por qué el incidente golpea sobre todo a monederos antiguos cuyos dueños podían interpretar la larga inactividad como una prueba de seguridad.
Próximo artículo: OpenAI muestra a los senadores su nuevo modelo Astra días antes de la llegada de un marco de revisión de 30 días