Una vulnerabilidad de software en las billeteras frías Coldcard permitió el robo de aproximadamente 1.755 bitcoins, valorados en unos US$110 millones, según Galaxy Research.
Hackers descubrieron una vulnerabilidad de software en una popular billetera “fría” de bitcoin, considerada uno de los lugares más seguros para almacenar criptomonedas, y están vaciando fondos en un ataque que ya ha provocado pérdidas por unos US$110 millones.
A fines de la semana pasada, la empresa canadiense Coinkite Inc. notificó a los usuarios de sus dispositivos Coldcard que una falla de seguridad en las claves que protegen sus bitcoins había comprometido algunas billeteras. Hasta el lunes, más de 1.755 bitcoins, valorados en unos US$110 millones, habían sido robados de alrededor de 5.000 billeteras, según Galaxy Research.
Coldcard es una marca de dispositivos físicos que permite resguardar bitcoins en las llamadas billeteras frías. Estas se consideran una de las formas más seguras de almacenar criptomonedas porque permanecen aisladas de internet.
Sin embargo, una falla en el software de los dispositivos Coldcard hizo que la larga secuencia de palabras utilizada para acceder a una billetera fuera predecible, según un informe del equipo de ingeniería de Block Inc.
“Esto expone la falacia de que las criptomonedas están realmente fuera de línea”, afirmó Aneirin Flynn, director ejecutivo de la firma de ciberseguridad Failsafe. “El dispositivo solo genera las contraseñas y, si las bases matemáticas son defectuosas, esas contraseñas pueden reconstruirse”.
Para algunos usuarios, la noticia del ataque resultó inicialmente difícil de creer. Jonathan Goodman, una de las víctimas, dijo que pensó que no estaba afectado, pero decidió revisar su billetera de todos modos.
“En cuanto cargó, supe que estaba perdido porque vi las líneas rojas de los retiros”, dijo Goodman a Bloomberg. “Entre las 21:36 y las 21:43 del 29 de julio, mis tres billeteras quedaron completamente vacías”.
Goodman publicó en X que le robaron US$1,6 millones en bitcoin. Afirmó que sus criptomonedas estaban almacenadas en una billetera fría y que las claves permanecían en un dispositivo Coldcard guardado en una caja de seguridad que nunca había sido conectada a internet.
Según Block, el origen del problema estuvo en la forma en que Coinkite implementó el generador de números aleatorios para crear las frases. La aleatoriedad es un elemento fundamental de la seguridad cripto, pero las billeteras Coldcard contaban con un mecanismo de respaldo que terminaba generando claves a partir de valores deterministas, como el número de serie del dispositivo.
Como resultado, los atacantes pudieron recalcular sistemáticamente las claves y vaciar las billeteras de los usuarios. Los reportes del viernes estimaban pérdidas cercanas a US$38 millones, pero la cifra aumentó rápidamente durante el fin de semana.
En un comunicado publicado en su sitio web, Coinkite confirmó que los fondos protegidos con frases generadas por las versiones afectadas del firmware están en riesgo. La empresa señaló que ya está disponible una actualización corregida para todos los modelos y versiones comprometidos.
El ataque ha generado una amplia repercusión en redes sociales, donde desde influenciadores hasta ejecutivos de empresas han debatido sus implicancias.
Aunque el monto robado en criptomonedas en 2026 sigue siendo inferior al del año pasado, la cantidad de ataques continúa aumentando. Durante el primer semestre se sustrajeron US$972 millones, menos de la mitad de los US$2.300 millones registrados en el mismo período de 2025, según un informe de TRM Labs publicado el mes pasado. Sin embargo, el número total de hackeos ascendió a 207, el mayor registrado para cualquier período de seis meses.
Ari Redbord, responsable global de políticas de TRM Labs, señaló que los compromisos de infraestructura y de claves representan alrededor del 15% de los incidentes, pero explican el 76% de las pérdidas. “Coldcard demuestra que la autocustodia traslada el riesgo, pero no lo elimina”, afirmó.
Para Goodman, el incidente evidenció la “fe ciega” que había depositado en la tecnología que utilizaba. Dijo que ya no volverá a invertir en bitcoin ni a usar billeteras frías.
“Si realmente es algo tan complicado y técnico, quizás no vale la pena”, afirmó Goodman. “Nadie sabe realmente cómo funciona casi nada”.