El 31 de julio de 2026 marcó un hito preocupante en la historia de la seguridad de las criptomonedas, cuando cientos de inversores vieron desaparecer sus Bitcoins de los que consideraban los bastiones inexpugnables: sus monederos físicos, específicamente los ColdCard. Este incidente, que resultó en el robo de aproximadamente 89 millones de dólares en 1.367 Bitcoins, reveló una ‘vulnerabilidad crítica’ que desafía la premisa fundamental de estos dispositivos. Contrario a la creencia popular de que las claves nunca abandonaban el aparato, el atacante no necesitó acceso físico ni infección; simplemente ‘adivinó’ las claves.
La raíz del problema no residía en una intrusión externa al dispositivo aislado, sino en un fallo inherente al proceso de creación de las claves, un eslabón primario de la cadena de seguridad. Un monedero de Bitcoin debe generar una semilla verdaderamente aleatoria para derivar sus claves privadas y direcciones, haciendo que la enumeración de posibilidades sea computacionalmente inviable. Sin embargo, en los ‘monederos ColdCard’, un error de integración en 2021 durante la implementación de la librería libNgU desvió el proceso, utilizando un generador pseudoaleatorio de MicroPython que comprometía gravemente la impredecibilidad de estas semillas. Este error sutil pero devastador transformó el azar robusto en una secuencia predecible.
Este fallo permitió que el espacio efectivo para generar semillas se redujera drásticamente. Mientras que la criptografía moderna de Bitcoin se basa en un espacio de claves de 256 bits, garantizando billones de billones de combinaciones imposibles de fuerza bruta, el error en ColdCard limitó las semillas a tan solo 32 bits en algunos modelos. Una reducción de esta magnitud significó que, en lugar de un universo casi infinito, el atacante se enfrentaba a ‘solo’ 4.300 millones de combinaciones posibles, un número gestionable para sistemas de cómputo de alta capacidad. Esta drástica disminución de la entropía convirtió lo teóricamente imposible en una tarea factible.
El modus operandi del ciberatacante fue metódico y eficiente. Armado con el conocimiento del firmware defectuoso, pudo recrear una lista de semillas candidatas fuera del dispositivo. Para cada semilla, se derivaban las posibles direcciones de Bitcoin, que luego se cotejaban con la cadena de bloques pública. Una vez identificadas las direcciones con fondos, la clave correspondiente se utilizaba para orquestar la transferencia de los Bitcoins. El 31 de julio, una oleada de transacciones vació 1.082,65 BTC de 1.196 monederos en apenas 41 minutos, una demostración escalofriante de la eficiencia de la explotación. Este evento pone de manifiesto una vez más la vigilancia constante que requiere la ‘Seguridad Blockchain’.
Aunque en términos absolutos los 89 millones de dólares no constituyen el mayor robo en la historia del ‘Mercado Crypto’, su naturaleza técnica lo eleva a una categoría de especial relevancia. A diferencia de ataques que explotan vulnerabilidades en plataformas de intercambio centralizadas o errores de usuario, este incidente socavó la confianza en la solución de seguridad que se suponía la más robusta: el almacenamiento en frío. Esto resalta que incluso las herramientas consideradas de ‘última generación’ en ‘Inversión Digital’ pueden contener puntos de falla fundamentales que, una vez descubiertos, exponen a los inversores a riesgos significativos y redefinen los estándares de protección.
La respuesta de Coinkite, los creadores de ColdCard, fue la publicación de actualizaciones de firmware destinadas a corregir el problema. Sin embargo, esta solución solo previene la generación de nuevas semillas defectuosas. Aquellas claves generadas antes de la actualización y que compartan la misma vulnerabilidad, siguen estando expuestas. Por ello, la recomendación crítica es actualizar el firmware, generar una semilla completamente nueva y, posteriormente, transferir los fondos existentes a las direcciones generadas con la nueva semilla segura. Este incidente subraya la paradoja del código abierto y la complejidad de garantizar la seguridad total en el vertiginoso mundo de las ‘Billeteras Frías’ y las criptomonedas, incluso con análisis avanzados de IA que no lograron detectar la falla.
Si le ha parecido interesante este análisis, le invitamos a compartirlo y a dejar su opinión en los comentarios.
