Un reciente informe de Galaxy Research, fechado el 7 de agosto de 2026, revela que las pérdidas ocasionadas por la falla de seguridad en los monederos físicos Coldcard podrían ser considerablemente superiores a lo inicialmente calculado. De acuerdo con la firma, ya se han confirmado extracciones no autorizadas de 1.719 bitcoins, equivalentes a unos 111 millones de dólares al cambio actual, aunque otras pesquisas en curso podrían elevar la cifra total a más de 2.300 BTC.
Más de 250 afectados y 25 patrones de ataque identificados
La investigación de Galaxy ha logrado detectar al menos 25 metodologías distintas empleadas por los atacantes. Asimismo, se han recibido denuncias de más de 250 personas que habrían visto comprometidos sus fondos. Un análisis preliminar de los datos, dividido en tres fases, indica que la mayoría de las víctimas no son grandes tenedores de bitcoin, sino usuarios con patrimonios moderados o reducidos en criptomonedas. La firma también apunta a que varios grupos delictivos podrían haber estado operando de manera simultánea.
La vulnerabilidad se remonta a 2021
El origen de este incidente se localiza en una falla introducida en el firmware de los dispositivos Coldcard a partir de marzo de 2021. En concreto, una actualización de software desvió la generación de las frases de recuperación hacia un generador de números pseudoaleatorios basado en software, en lugar de emplear correctamente la fuente de entropía propia del hardware. Esta debilidad posibilitó que los atacantes reconstruyeran ciertas semillas vulnerables y localizaran los fondos vinculados a ellas, sin necesidad de acceder directamente a las claves privadas almacenadas en los monederos.
Modelos afectados y estado de la investigación
Según los hallazgos de Galaxy, los modelos Coldcard Mk3, Mk4, Mk5 y Q que operaran con versiones de firmware posteriores al 17 de marzo de 2021 son los potencialmente comprometidos. Para determinar qué activos están relacionados con el robo, la firma coteja los reportes de las víctimas con los movimientos registrados en la cadena de bloques. La investigación sigue activa y se continúan evaluando nuevas direcciones que podrían estar vinculadas a las distintas oleadas del ataque. Si los casos actualmente bajo análisis se confirman, el impacto total superaría los 2.300 BTC, una cifra que supera la estimación previa de 2.055 BTC reportada el 4 de agosto.
Lecciones para la autocustodia
Este episodio subraya que una vulnerabilidad en la generación de semillas de recuperación puede tener consecuencias graves incluso años después de haberse introducido. Refuerza la idea de que la seguridad en la autocustodia de criptomonedas comienza en el mismo instante en que se crean las claves, y que cualquier fallo en ese proceso inicial puede exponer los fondos a riesgos imprevistos.