Hack Coldcard: 89 millones robados de los wallets más seguros

El lugar más seguro para guardar bitcoin, nos decían siempre, es una hardware wallet: un pequeño dispositivo sin conexión a internet, donde las claves nunca salen y que un ladrón tendría que robar físicamente para vaciarlo. Sin embargo, desde el 30 de julio, miles de estos dispositivos han sido vaciados de forma remota, sin que nadie los tocara. El botín roza los 89 millones de dólares.

La víctima es Coldcard, una de las hardware wallets más respetadas en el mundo Bitcoin. Y lo más inquietante es la causa: no un ataque sofisticado, sino un error trivial escondido en el software durante cinco años. Esto es lo que ocurrió realmente, por qué no es culpa de Bitcoin, y cómo saber si deberías preocuparte.

Lo que ocurrió, en cifras

Concretamente, los hechos, reconstruidos por los analistas de Galaxy Research mediante análisis de la blockchain, son llamativos. A partir del 30 de julio, un atacante comenzó a vaciar carteras Coldcard en oleadas sucesivas. La primera drenó aproximadamente 594 bitcoin en menos de media hora. Las oleadas siguientes elevaron el total a unos 1.367 bitcoin, con un valor de casi 89 millones de dólares, sustraídos de 4.585 direcciones distintas, según los datos publicados por Galaxy Research el 1 de agosto de 2026.

El detalle más escalofriante es que muchas de esas carteras estaban “durmientes”: nadie las había tocado en años. Sus propietarios, convencidos de tener sus ahorros en el cajón más blindado, los vieron desaparecer sin haber hecho nada, sin haber clicado en ningún enlace ni cometido ningún error. El atacante no necesitó engañarlos: le bastó con un fallo técnico.

La causa: la “aleatoriedad” que no era aleatoria

Aquí llega la parte técnica, y es más sencilla de lo que parece, pero es el núcleo de todo. La seguridad de una cartera se basa en una sola cosa: cuando la creas, el dispositivo genera una clave secreta, la llamada “seed phrase”, extrayéndola de un número de combinaciones posibles tan astronómicamente grande que resulta imposible adivinarla. La seguridad depende por completo de que esa elección sea verdaderamente aleatoria e impredecible.

Y ahí es donde Coldcard falló. Un error introducido en una actualización del firmware de marzo de 2021 hacía que algunos dispositivos, en lugar de usar su generador de aleatoriedad por hardware dedicado, recurrieran a un método de software predecible, basado en datos no secretos del chip. El resultado fue que el espacio de combinaciones posibles se redujo enormemente: de un número imposible de explorar a uno que un ordenador podía recorrer sin problemas. En la práctica, las claves secretas de esas carteras eran mucho menos secretas de lo que sus propietarios creían, y un atacante logró reconstruirlas sin necesidad de tocar los dispositivos.

Por qué NO es culpa de Bitcoin (pero la lección sigue en pie)

Conviene ser muy claros en este punto para no alimentar un pánico injustificado. Este no es un fallo de la red Bitcoin, que sigue siendo sólida e inviolada. La criptografía que protege el protocolo no ha sido rota. El problema estaba en un único producto de un único fabricante y, más concretamente, en una versión específica de su software. Es como si una marca de cajas fuertes hubiera montado por error una cerradura defectuosa: no es culpa del acero, es culpa de ese mecanismo.

Pero la lección, para cualquier persona que posea criptomonedas, va mucho más allá de Coldcard. Nos recuerda que la seguridad de una cartera no depende solo de dónde guardas las claves, sino de cómo fueron generadas. Un dispositivo offline no sirve de nada si la clave que protege era predecible desde el principio. Es el mismo principio que explicamos en nuestra guía de custodia de fondos: la seguridad es una cadena. Es tan fuerte como su eslabón más débil.

¿Deberías preocuparte? La guía práctica

Vamos a lo concreto, que es lo que importa si tienes una hardware wallet. La buena noticia es que la exposición a este problema específico está acotada y bien definida. No todos los usuarios de Coldcard están en riesgo, y quien usa otras carteras no está afectado por este ataque.

Solo estás potencialmente en riesgo si se cumplen todas estas condiciones a la vez: tienes un Coldcard de un modelo antiguo (Mk3), generaste tu seed directamente en el dispositivo mientras ejecutaba el firmware defectuoso de aquel período, y no usaste una protección adicional como una passphrase. Si tienes un modelo más reciente, o si importaste una seed creada en otro lugar, o si añadiste una passphrase, no estás expuesto a esta falla concreta. Una advertencia crucial: si estás en riesgo, actualizar el firmware ahora no te salva. La corrección impide que nuevas seeds nazcan débiles, pero no repara una clave ya generada incorrectamente. La única solución, en ese caso, es crear una nueva cartera segura y trasladar los fondos con urgencia.

La lección más amplia

El ataque a Coldcard es uno de los incidentes más instructivos de los últimos años porque golpea en el centro una certeza que el mundo cripto daba por sentada: que el cold storage, la custodia offline, era una fortaleza inexpugnable. Lo es, pero solo si cada uno de sus componentes está construido a la perfección. Un único error, oculto durante cinco años en un código público que cualquiera podría haber inspeccionado, bastó para convertir la caja fuerte en una puerta abierta.

La lección para quienes custodian sus ahorros por cuenta propia no es “el cold storage es peligroso”, porque sigue siendo el método más seguro. Es, más bien, que la autocustodia es una responsabilidad que exige conciencia: entender no solo dónde guardas las claves, sino cómo nacieron, mantener los dispositivos actualizados y diversificar sin concentrar todo en un único instrumento. La confianza ciega en un dispositivo, por reputado que sea, es en sí misma un riesgo. En el mundo cripto, la verdadera caja fuerte no es el hardware: es el conocimiento. Quienes quieran profundizar pueden leer nuestra guía sobre cómo custodiar criptomonedas de forma segura.