Un fallo de firmware en Coldcard destapa pérdidas de hasta 130 millones de dólares en bitcoin

El equipo de Ingeniería y Seguridad de Bitcoin de Block, junto con desarrolladores independientes de Bitcoin Core, atribuyó el último lote de pérdidas vinculadas a monederos Coldcard de Coinkite a un defecto concreto de firmware. El problema debilitó la autocustodia incluso antes de que el usuario llegara a interactuar con la frase semilla. Según el análisis técnico, el fallo desviaba la generación de números aleatorios del origen de hardware STM32 hacia el generador determinista Yasmarang de MicroPython, usado como mecanismo de respaldo. En los Coldcard Mk2 y Mk3 con firmware entre las versiones 4.0.1 y 4.1.9, esa ruta produjo semillas cuya aleatoriedad efectiva quedó reducida a un conjunto pequeño y rastreable. Los modelos Mk4, Q y Mk5 sufrieron un impacto menor, pero aun así generaban semillas con alrededor de 72 bits de entropía, por debajo de los 128 bits previstos en el diseño. Por qué esto rompe la promesa de la autocustodia El usuario podía anotar 12 o 24 palabras, guardarlas en una caja fuerte y mantener el dispositivo aislado durante años, y aun así poseer una clave que un atacante podría reconstruir buscando en el espacio reducido de salidas del generador de respaldo. La actualización de firmware solo protege las semillas creadas después de instalarla. Cualquier semilla ya generada por la ruta defectuosa debe reemplazarse por completo. Coinkite indicó en su aviso que los usuarios afectados deben generar una semilla nueva y mover los fondos. Importar la frase antigua en un monedero de otro fabricante no elimina el riesgo: la debilidad está en el origen de la semilla y acompaña a las palabras de recuperación. Lo que creían proteger los usuarios y lo que expuso el fallo — Generación de semilla: se asumía que el dispositivo creaba palabras aleatorias seguras; algunas nacieron débiles. — Almacenamiento offline: se pensaba que mantener la frase fuera del alcance de atacantes bastaba; el almacenamiento seguro no corrige una entropía deficiente. — Actualización de firmware: el dispositivo puede parchearse; las semillas débiles existentes no se reparan. — Migración de dispositivo: importar la frase a hardware "más seguro" parecía suficiente; la debilidad viaja con la frase. — Conducta del usuario: evitar phishing, malware o filtraciones; podía haber pérdida sin un error operativo del usuario. En parte de los casos, el momento en que el dispositivo generó la clave —meses o años antes de recibir depósitos— fijó el espacio de búsqueda, independientemente del cuidado posterior al guardar la frase. Una reputación de seguridad, un fallo que pasó desapercibido Coldcard cimentó su reputación en características habituales en guías de seguridad de autocustodia: firmware solo de Bitcoin, firma airgapped, doble "secure element", código publicado y compilaciones reproducibles. La reconstrucción del firmware publicado y su comparación con el binario distribuido confirmó que el código ejecutado coincidía con el publicado por Coinkite, algo que valida la integridad de distribución, no necesariamente la corrección del diseño. La ruta vulnerable se incluyó en firmware publicado a partir de 2021 y se mantuvo hasta la divulgación de este julio, una ventana de cinco años en la que el código fue público sin que se detectara el defecto. Las notas técnicas de Coinkite señalan que revisiones previas confirmaron la presencia del generador aleatorio de hardware correcto en algún punto del binario, pero no verificaron que la rutina de generación de semillas llegara a utilizarlo. Los usuarios que añadieron una segunda suposición Quienes configuraron una passphrase BIP39 fuerte y única resistieron el ataque de reconstrucción de semilla por sí solo, ya que BIP39 deriva la semilla del monedero combinando el mnemónico con una sal que incluye la passphrase. Con distinta passphrase se obtiene un monedero distinto incluso con las mismas palabras. Esa passphrase es independiente del PIN (que solo desbloquea el hardware) y participa en la generación de claves. Aun así, Coinkite recomendó migrar también en estos casos. Coinkite excluyó de este fallo específico a los usuarios que generaron la semilla añadiendo entropía externa mediante al menos 50 tiradas privadas, justas e independientes de dados, porque esa práctica evita que el generador defectuoso sea la única fuente de aleatoriedad. Andrew Mannoukas, CISO de Xapo Bank, resumió el patrón en una nota a CryptoSlate: "La lección de este incidente no es que los monederos hardware sean malos; es que la concentración lo es. Cuando la seguridad de tu Bitcoin se reduce a un único secreto, creado en un único dispositivo, en un único momento irrepetible, heredas todas las suposiciones incrustadas en ese momento". Añadió que los datos del sector llevan años mostrando que la mayoría de pérdidas provienen de gestión de claves y fallos operativos. Multisig: no basta con "2 de 3" si las claves no son independientes El consejo frecuente de usar multisig suele omitir un matiz: una configuración 2 de 3 bloquea el gasto si una sola clave se ve comprometida. Pero si las tres claves comparten la misma implementación defectuosa, el riesgo se concentra en un único punto de fallo. La propia documentación de Coldcard permite que un solo dispositivo produzca varios cosignatarios usando distintas passphrases, creando claves distintas que pueden seguir dependiendo de la misma implementación. El criterio clave pasa a ser quién generó cada clave, con qué implementación y con qué fuente de aleatoriedad. Comparación con el caso Ledger El servicio opcional Recover de Ledger hace que el Secure Element duplique y cifre la entropía del monedero, divida el resultado en tres fragmentos cifrados y los envíe a proveedores de respaldo, un proceso que requiere suscripción y aprobación física en el dispositivo. En Ledger, el debate se centra en cuándo material secreto sale del dispositivo bajo condiciones aprobadas por el usuario. En Coinkite, el problema se situó antes: el firmware debilitó el secreto antes de que el perímetro de seguridad del dispositivo entrara en juego. En ambos casos, el software del fabricante define dónde está realmente el límite de seguridad de la autocustodia, más allá del marketing del hardware. Balance de pérdidas y atribución en cadena Los primeros barridos retiraron alrededor de 594 BTC de unas 500 carteras. Investigadores on-chain vincularon después al menos tres oleadas sospechosas, con un total cercano a 1.367 BTC en más de 4.500 direcciones, valorados en torno a 89 millones de dólares en ese momento. Informes que circularon el 3 de agosto describieron una posible cuarta oleada que podría elevar el total hacia 114 millones. Alex Thorn, de Galaxy Digital, advirtió de que los patrones en la cadena por sí solos no confirman el vínculo entre algunas direcciones barridas y el firmware vulnerable de Coldcard, por lo que la atribución sigue siendo provisional mientras el total aumenta. Una actualización posterior del 4 de agosto de Lookonchain, citando a Galaxy Research, estimó que las pérdidas relacionadas con Coldcard podrían haber alcanzado 2.055 BTC, cerca de 130 millones de dólares, repartidos en más de 7.700 direcciones afectadas. Contexto: la economía del ataque se desplaza a la operativa TRM Labs indicó que la infraestructura comprometida y los fallos operativos —principalmente el robo de claves privadas y frases semilla— representaron aproximadamente el 76% del valor sustraído en hackeos cripto durante la primera mitad de 2026, aunque supusieron cerca del 15% del total de incidentes. CertiK, por su parte, situó el compromiso de monederos como la categoría de ataque más costosa en el mismo periodo, con más de 444 millones de dólares en 33 incidentes. Para los atacantes, suele ser más rentable explotar sistemas y procesos alrededor de las claves que romper la criptografía. Respuesta de Coinkite y el vacío de responsabilidad El fundador de Coinkite, Rodolfo Novak, pidió disculpas públicamente, afirmó que la empresa asume plena responsabilidad y ofreció ayuda para denuncias policiales, reclamaciones de seguros e investigaciones en blockchain. A 3 de agosto, el reembolso no figuraba entre las soluciones. A diferencia de un exchange —que a veces puede recurrir a reservas, seguros o balance— un fabricante de monederos hardware vende un producto y normalmente deja la custodia del bitcoin en manos del usuario, lo que deja sin resolver quién asume el coste de un defecto entre comprador y fabricante. Qué puede venir ahora para la autocustodia En el escenario favorable, la migración de fondos se impone a nuevas oleadas y los fabricantes responden con pruebas de generación de semillas, certificaciones de entropía y herramientas más claras para rotación de claves de emergencia. Passphrases, entropía externa con dados y multisig realmente diversificado pasarían de consejos avanzados a recomendaciones por defecto, y el sector trataría este episodio como el momento en que los estándares de autocustodia alcanzaron al marketing. En el escenario adverso, podrían aparecer rutas adicionales de semillas débiles en otros modelos o rutinas de configuración, erosionando la confianza más rápido de lo que los fabricantes pueden parchear. Migraciones precipitadas también pueden provocar pérdidas por reutilización de direcciones, transferencias apresuradas y una nueva ola de estafas de "soporte" dirigidas a usuarios que intentan ponerse a salvo. Resumen de escenarios — Caso alcista: las pérdidas se estabilizan y las migraciones funcionan; más pruebas de entropía, certificaciones y mejores herramientas de rotación de emergencia; la autocustodia madura hacia la resistencia por capas. — Caso bajista: aparecen más rutas de semillas débiles; migración por pánico y estafas; cae la confianza en monederos hardware; el lema "Not your keys" se sustituye por "¿quién creó tus claves?". — Adaptación del sector: estándares sobre entropía, auditorías y diversidad en multisig; prácticas avanzadas se integran en la experiencia por defecto; más resiliencia a costa de simplicidad. — Persistencia del vacío de responsabilidad: sin norma clara de reembolsos o responsabilidad; el usuario mantiene el control, pero asume más riesgo por defectos de producto; la confianza en hardware pasa a formar parte del análisis de riesgo de custodia. Gestionar tus propias claves evita que un exchange congele retiradas, rehypotheque saldos o quiebre con fondos de clientes. Aun así, queda una dependencia dentro de la autocustodia: el fabricante del dispositivo que convierte la aleatoriedad en una clave. Una sola semilla, nacida en el hardware de una empresa en un momento irrepetible, solo funciona como soberanía cuando se apoya en una segunda suposición independiente. El post sobre la crisis de Coldcard que ya roza los 130 millones de dólares —y que pone en duda el "not your keys" si confías en un solo dispositivo para generarlas— se publicó originalmente en CryptoSlate.