Escrito por: Jerónimo Corregido
El mes pasado se produjo un importante robo de bitcoin en Coldcard. El caso pone en tela de juicio la seguridad de las billeteras frías en contraste con las billeteras calientes. Los atacantes explotaron una vulnerabilidad de 2021 que les permitió saquear las cuentas sin acceder a las billeteras.
Siguen las repercusiones por el robo de bitcoin en Coldcard.
Qué pasó: explicación del robo de bitcoin en Coldcard
Las billeteras frías de criptomonedas, es decir, aquellas que no están conectadas a internet, están consideradas como la manera más segura de proteger el patrimonio. Sin embargo, el robo de bitcoin en Coldcard, concretado entre fines de julio y principios de agosto, puso en duda esta premisa del mundo cripto.
En efecto, según Galaxy Research, Coldcard fue víctima de un golpe que implicó a más de 5.000 cuentas. Según los primeros cálculos, se habrían perdido 1.700 BTC, aunque la propia firma señaló que la suma podría ser de 2.055 BTC. Incluso se ha hablado de 2.300 BTC robados.
Con la cotización de la criptomoneda en torno a los 62.000 dólares, se estima que el fraude habría implicado, al menos, la pérdida de unos 111 millones de dólares. El atraco se produjo en tres oleadas, y afectó a pequeños y medianos tenedores, en tanto que no implicó daños para las grandes ballenas de criptomonedas.
Los hackers apuntaron contra una vulnerabilidad de Coldcard que databa de marzo de 2021. En ese momento, se había introducido una versión del firmware que prescindió del hardware interno para crear aleatoriedad. En su lugar, el sistema confió en un generador de números pseudoaleatorios. La consecuencia es que las fases de recuperación se volvieron matemáticamente adivinables.
Con el apoyo de la IA, los atacantes consiguieron acertar las claves privadas e ingresaron en las cuentas, sin que hubiera resistencia. Los afectados fueron los usuarios de los modelos Mk3, Mk4, Mk5 y Q de Coldcard.
El caso genera un precedente importante en el uso de billeteras frías, pero dista de ser el mayor robo de criptomonedas en 2026. Anteriormente, se habían visto saqueos mucho mayores en KelpDAO, un protocolo de Ethereum que sufrió una pérdida cercana a los 293 millones de dólares, o en Drift Protocol, que este año fue despojado de 285 millones de dólares por fallas en la gobernanza.
Billeteras frías o billeteras calientes, esa es la cuestión
Es común escuchar que las billeteras frías, del tipo Coldcard, son más seguras que sus pares calientes. Esto se debe, sobre todo, a que no están conectadas a internet. Son dispositivos físicos, como terminales de USB, que guardan las claves privadas fuera de la red.
Por el contrario, las billeteras calientes están conectadas a apps, extensiones web o exchanges, donde se guarda información sensible. Son gratuitas y más cómodas para operar de modo continuo, pero se las supone más vulnerables.
El robo de bitcoin en Coldcard no fue tan significativo por el monto, sino porque el ataque se dio contra una billetera fría. Al explotar el punto débil en la conformación de la semilla, los hackers lograron entrar en las cuentas, sin necesidad de acceder a las billeteras en sí mismas.
Es decir: si bien las billeteras físicas guardan las claves, las criptomonedas en sí no están allí adentro, sino desplegadas en cadenas de bloques. Ese fue el corazón del fraude.
El caso abre el viejo debate sobre seguridad entre quienes adscriben a las billeteras frías y quienes optan por las calientes. El primer modelo confía en la autocustodia, en tanto que el segundo depende de intermediarios. La realidad no permite apoyar ninguna de las dos vertientes de modo concluyente, ya que hay ejemplos de falibilidad en ambas.
Lo que están argumentando los expertos tras los robos recientes es que no conviene guardar las claves y los activos en un solo sitio. Al dividir los fondos, las posibles vulneraciones no afectarán el total del patrimonio, sino una parte de él.
