El incidente de seguridad que afectó a Coldcard ha generado una intensa actividad entre los especialistas en criptomonedas, quienes se esfuerzan por determinar el volumen exacto de fondos robados. A diferencia de lo que ocurre con los exchanges, donde existe un registro centralizado de cuentas perjudicadas, en este caso los analistas deben basarse en declaraciones de las víctimas y en el estudio de las transacciones en la cadena de bloques para construir una estimación, que varía según la metodología aplicada.
Distintas metodologías, diferentes resultados
La firma de análisis onchain CryptoQuant ha situado las pérdidas confirmadas en 1.432 bitcoins, una cifra que considera un piso mínimo. Julio Moreno, director de investigación de la compañía, explicó a nuestro medio que parten de los reportes públicos de los afectados —incluyendo direcciones de billetera o identificadores de transacciones— y luego cotejan esa información con los patrones del ataque detectados en la cadena. Moreno advirtió que si más víctimas hicieran públicas sus direcciones comprometidas, ese número podría incrementarse.
Por su parte, Galaxy Research y TRM Labs manejan estimaciones más elevadas. Alex Thorn, de Galaxy, señaló que su cálculo mínimo de alta confianza es de 1.730 BTC, aunque podría seguir subiendo a medida que nuevos reportes de víctimas corroboren los patrones identificados. “Hemos confirmado directamente más de 450 BTC a partir de las declaraciones de los perjudicados, pero esos informes nos han ayudado a detectar a otras víctimas desconocidas, sumando más de 730 BTC en total”, indicó Thorn. La empresa mantiene en reserva fondos que sospecha robados pero para los que carece de corroboración suficiente.
Enfoques conservadores y proyecciones al alza
TRM Labs, por su lado, asegura que su seguimiento independiente se ubica en un rango similar al de Galaxy. Su análisis más reciente estima que los atacantes extrajeron aproximadamente 1.816 BTC de más de 5.200 direcciones, repartidos en cuatro oleadas. Ari Redbord, responsable de política global de TRM, afirmó que los investigadores deben esperar que la estimación continúe creciendo antes de estabilizarse.
La cautela de CryptoQuant responde a que identificar víctimas únicamente mediante patrones onchain puede generar falsos positivos y elevar artificialmente la cifra. “Como el bitcoin robado pertenecía a individuos y no a una entidad centralizada, solo podemos confirmar lo que cada víctima divulga voluntariamente”, explicó Moreno. En consecuencia, el total final será siempre una aproximación, no un dato definitivo.
El desafío de cuantificar ataques a la autocustodia
Este caso pone de relieve la dificultad de medir el impacto de los incidentes de seguridad en monederos de autocustodia. Mientras que en un exchange se puede acceder a un listado completo de cuentas afectadas, aquí los investigadores deben construir sus estimaciones con base en indicios fragmentarios. Chainalysis, por ejemplo, no ha realizado un recuento propio de las pérdidas, y el reconocido investigador ZachXBT ha declarado que no planea monitorear este suceso.
En resumen, la cifra final de bitcoins sustraídos en el ataque a Coldcard sigue siendo incierta y probablemente aumentará a medida que más víctimas se manifiesten. Los distintos enfoques metodológicos explican la disparidad de números, que van desde los 1.432 BTC de CryptoQuant hasta los más de 1.800 BTC sugeridos por Galaxy y TRM Labs. La lección para el ecosistema es clara: la transparencia de los usuarios es clave para dimensionar este tipo de robos en el mundo descentralizado.