Un ataque reveló una vulnerabilidad crítica en la autocustodia de Bitcoin: más de 1.000 BTC, valorados en unos 70 millones de dólares, fueron drenados de 1.196 billeteras Coldcard el 30 de julio.
El ataque que reconstruyó las claves
Galaxy Research determinó que el atacante no necesitó acceder físicamente a los dispositivos. Una falla de firmware debilitó la aleatoriedad utilizada para crear las frases semilla. En ciertos modelos y versiones, el espacio de posibilidades se redujo a un rango que puede ser enumerado con capacidad de cómputo.
El atacante generó semillas candidatas fuera de línea, derivó sus direcciones y las comparó con la información pública de la cadena de bloques. Así pudo reconstruir claves privadas y mover fondos de billeteras que, en algunos casos, llevaban años inactivas. El incidente abarcó 1.082,65 BTC en una ventana de aproximadamente 41 minutos.
Qué dijeron los investigadores y el fabricante
Coinkite, fabricante de Coldcard, reconoció el problema y publicó actualizaciones de emergencia. Sin embargo, actualizar el firmware no vuelve segura una frase semilla creada con una versión vulnerable: los usuarios afectados deben generar una semilla completamente nueva en un dispositivo corregido y migrar los fondos con cuidado.
La lección central: una billetera fría reduce muchos riesgos, pero no elimina los riesgos de diseño, fabricación o configuración.
Implicaciones para usuarios de Latinoamérica
La autocustodia es especialmente importante para quienes usan Bitcoin como ahorro, cobertura frente a la inflación o herramienta de pagos y remesas. Precisamente por eso, la seguridad debe tratarse como un proceso, no como la compra de un dispositivo.
Buenas prácticas
- Verificar avisos oficiales de seguridad y la versión exacta del firmware.
- Si una semilla pudo crearse con software vulnerable, asumir que está comprometida y migrar a una semilla nueva.
- Distribuir fondos según el nivel de riesgo y capacidad real de gestión, sin crear una complejidad imposible de auditar.
- Guardar copias de recuperación fuera de línea y nunca fotografiarlas ni introducirlas en sitios web.
- Probar primero una transacción pequeña y revisar cada dirección antes de enviar montos mayores.
Changpeng Zhao recomendó diversificar también las billeteras, aunque hacerlo añade responsabilidades: más copias, más procedimientos y más posibilidades de error humano. No existe una solución 100% libre de riesgos; sí existe una gestión más informada.
La perspectiva de ZonaCrypto
Este caso no invalida la autocustodia, pero sí desmonta la idea de que “hardware” equivale automáticamente a “invulnerable”. Para nuestra comunidad, la prioridad es combinar educación, actualizaciones verificadas y una estrategia de almacenamiento proporcional al patrimonio.
Únete a la comunidad ZonaCrypto para seguir las alertas de seguridad y el análisis responsable del ecosistema cripto.