Los usuarios de Coldcard se enfrentan a una cuarta ola de robos organizados, y las cifras ya no son errores de redondeo. Alex Thorn, jefe de investigación de Galaxy Research, señaló una nueva ráfaga de actividad maliciosa que drenó aproximadamente 388,9 BTC de 462 direcciones víctimas en solo 14 bloques, entre el 960.778 y el 960.792. El ataque generó 218 transacciones que canalizaron bitcoin hacia 216 destinos nunca antes vistos. El volumen de transacciones se disparó a aproximadamente 45 veces el nivel de referencia previo al incidente, lo que deja pocas dudas de que se trató de una operación deliberada y estructurada.
La advertencia llegó a través de el informe original, que también señala que algunos de los fondos robados ya han sido rastreados hasta direcciones de segundo salto. Transacciones similares siguen pendientes en la mempool, lo que indica que el barrido aún no se ha procesado por completo. La actividad en cadena confirmada muestra una adhesión voluntaria a Replace-by-Fee (RBF), un detalle que podría ofrecer una vía de escape estrecha para las víctimas que actúen con rapidez.
La última ola de ataques
Lo que separa a esta ola del robo oportunista es la velocidad y la coordinación. Las 462 direcciones fueron alcanzadas en una ventana de bloques muy ajustada, con la salida de fondos hacia destinos que no se habían utilizado antes. Ese patrón (direcciones nuevas, consolidación a alta velocidad y un volumen muy por encima de lo normal) sugiere scripts preplanificados en lugar de un actor manual. El robo ocurrió en un fin de semana, cuando muchos usuarios podrían no haber estado monitoreando las transacciones. Galaxy Research señaló que algunos fondos ya fueron barridos hacia carteras de segundo salto, lo que complica los esfuerzos de rastreo y hace que la recuperación sea improbable sin una intervención inmediata.
La bandera RBF ofrece un salvavidas, pero solo para quienes noten el ataque mientras sus transacciones aún son reemplazables. Los usuarios con transacciones salientes pendientes y sin confirmar que no se hayan transmitido con una tarifa baja podrían acelerar una transacción competidora hacia una dirección segura. Es una ventana estrecha y requiere conocimientos técnicos. Para la mayoría de las víctimas, los fondos ya se han perdido.
Patrón de robo organizado
Esta no es la primera vez para los propietarios de Coldcard. Según Galaxy Research, olas anteriores identificaron tres campañas de ataque separadas dirigidas a direcciones generadas por Coldcard. En conjunto, esas olas drenaron 1.367,05 BTC de 4.585 direcciones, por un valor aproximado de 88,6 millones de dólares en el momento de los robos. Los incidentes anteriores llevaron a Coldcard a reconocer una vulnerabilidad de firmware que permitía a los atacantes derivar claves privadas de las semillas creadas en los dispositivos afectados.
El fabricante de hardware detuvo los envíos y destruyó todos los dispositivos COLDCARD restantes con el firmware vulnerable. Los productos Satscard, Opendime y Tapsigner no se vieron afectados. Coldcard lanzó un firmware parcheado que protege las semillas recién generadas, pero la corrección no es retroactiva. Cualquier semilla creada en el firmware vulnerable sigue comprometida. La guía de la empresa es contundente: cree una nueva semilla en el firmware parcheado y mueva todos los fondos de las semillas antiguas de inmediato. La cuarta ola muestra que muchos usuarios aún no lo han hecho, y los atacantes están explotando esa inercia de manera sistemática.
Respuesta de Coldcard y guía para el usuario
La decisión de Coldcard de detener los envíos y destruir el inventario fue un paso drástico pero necesario que otros proveedores de hardware rara vez toman públicamente. Señaló que la vulnerabilidad no era un caso límite teórico. Sin embargo, el despliegue del parche expone la fricción inherente a la autocustodia. Los usuarios deben generar una nueva frase semilla, un proceso que obliga a un cambio completo de las direcciones de la cartera y a menudo requiere actualizar las carteras de software conectadas, las configuraciones multifirma y los procedimientos de respaldo. Esa migración no es trivial, y las olas de ataques en curso están castigando a cualquiera que la haya retrasado.
Para quienes aún mantienen fondos en una semilla que se originó en el firmware vulnerable, el consejo de Galaxy Research es urgente: mueva los fondos de los dispositivos Coldcard ahora, use tarifas más altas de lo habitual para impulsar las transacciones y aproveche RBF si su cartera lo admite. El drenaje de direcciones en la cuarta ola indica que los atacantes están monitoreando activamente la red en busca de saldos restantes.
Implicaciones más amplias para la autocustodia
El episodio de Coldcard es más que un error de hardware: expone los riesgos de cadena de suministro y ciclo de vida inherentes a la autocustodia. Los usuarios confían en el firmware que envía un fabricante, e incluso los procesos de verificación de código abierto pueden omitirse. Cuando una falla en la generación de semillas pasa desapercibida durante meses, la limpieza posterior es desordenada y lenta. El hecho de que pudieran ocurrir cuatro olas de ataque distintas, cada una con meses de diferencia, sugiere que el atacante es paciente y tiene un método confiable para hacer coincidir semillas con direcciones, probablemente a partir de un extracto volcado del período de aleatoriedad débil.
Lo que aún no está claro es si el atacante posee toda la lista de semillas comprometidas o solo un subconjunto, y si existen vulnerabilidades adicionales en versiones de firmware anteriores que Coldcard no ha revelado. La naturaleza sostenida de los ataques indica que la lista puede ser grande, y las 462 direcciones de esta ola pueden ser solo el último lote. Si el atacante continúa barriendo sistemáticamente, las pérdidas totales podrían aumentar aún más. Para el mercado más amplio de carteras de hardware, las consecuencias son un recordatorio de que las auditorías de firmware y la divulgación transparente de vulnerabilidades no son opcionales: son el núcleo de la promesa de seguridad del producto.
Lectura relacionada: La apuesta de minería de Bitcoin de Tether en Uruguay se desmorona por una disputa energética.
Lectura relacionada: XRP se adentra más en las finanzas tradicionales a medida que se expanden la demanda de ETF y el acceso a derivados.
