La firma de análisis Galaxy Research ha confirmado una tercera fase de intrusiones contra monederos fríos Coldcard, elevando el total de criptomonedas sustraídas a 1.367,05 bitcoin, equivalentes a unos 88,6 millones de dólares al tipo de cambio actual. Los investigadores detectaron que el número de direcciones comprometidas asciende ya a 4.585, según el informe publicado el 2 de agosto de 2026.
Cifras actualizadas del incidente
El monitoreo revela un patrón metódico que comenzó a notarse el 30 de julio de 2026, cuando se reportó una primera extracción de 594 BTC. Al día siguiente, una segunda arremetida incrementó el saldo robado a 1.158,81 BTC. En esta última actualización, los analistas rastrearon la salida de otros 207,7 BTC provenientes de 1.912 direcciones adicionales, lo que demuestra una escalada sostenida del ataque.
Evolución técnica de los ataques
Los datos indican diferencias operativas entre las fases. Las dos primeras compartieron métodos similares de envío hacia direcciones P2WPKH con intervalos de 27 horas. Sin embargo, la tercera oleada presentó modificaciones avanzadas: empleó destinos P2WSH, asignó una dirección única por víctima, agrupó un promedio de 6,37 víctimas por transacción de barrido y limitó el escaneo a la ruta de derivación por defecto. Galaxy Research señala que estos cambios podrían deberse a que el mismo operador mejoró su software para dificultar el rastreo, o bien a la irrupción de un segundo actor independiente que explotó el mismo espacio de claves expuesto tras las revelaciones públicas iniciales. La cadena de bloques de Bitcoin no permite distinguir entre ambas hipótesis.
Origen de la vulnerabilidad
El incidente se origina en una falla crítica del firmware distribuido el 17 de marzo de 2021, cerca del bloque 674.951 de la red. Ese defecto comprometió la generación de entropía y las semillas de recuperación, haciendo que las claves privadas creadas desde esa fecha fueran matemáticamente predecibles y vulnerables a escaneos automatizados. El análisis de las salidas no gastadas (UTXO) muestra que la mayoría de las pérdidas corresponden a direcciones con saldos inferiores a 1 BTC, aunque el volumen total en dólares está dominado por un grupo reducido de cuentas con montos elevados, lo que sugiere un impacto directo sobre usuarios de autocustodia individual.
Conclusiones
Todos los bitcoin sustraídos permanecen inactivos en siete direcciones controladas por los atacantes, según Galaxy Research. Los investigadores advierten que sus hallazgos provienen exclusivamente del análisis de datos en red y reportes de víctimas, sin haber realizado pruebas de cómputo directas para verificar la baja entropía, por lo que las cifras deben considerarse estimaciones preliminares en evolución. Este caso marca un hito en la seguridad de los activos digitales en almacenamiento personal, mientras el mercado y las firmas especializadas continúan monitoreando las transacciones para determinar el alcance definitivo de las vulneraciones en la red Bitcoin.