La magnitud del exploit del monedero de hardware Coldcard se está volviendo claramente evidente. Galaxy Research ha confirmado con alta confianza que al menos 1.719 BTC han sido robados en múltiples cuentas de usuarios, valorando el compromiso en aproximadamente 111 millones de dólares a precios recientes. Pero esa cifra puede no ser el techo. Las pérdidas totales, según la última evaluación del equipo de investigación citada en el informe original, probablemente superarán los 130 millones de dólares una vez que se verifiquen todos los casos pendientes.
Se han identificado más de 25 patrones de ataque distintos, y los investigadores ahora creen que múltiples actores de amenazas están explotando activamente la vulnerabilidad. El número de víctimas se está acumulando; Galaxy confirmó que ha recibido informes de más de 250 individuos. Si finalmente se confirma cada caso, el botín total podría superar los 2.300 BTC. Por ahora, los únicos hardware que se sabe que están afectados son Coldcard Mk3, Mk4, Mk5 y el modelo Q. No hay evidencia de que el error se haya propagado a otros dispositivos de firma o monederos, y Galaxy no ha indicado que ningún software o firmware afiliado fuera del ecosistema de Coldcard esté comprometido.
Una pesadilla para la autocustodia
Este incidente golpea la base misma de la cultura de la autocustodia. Coldcard es ampliamente considerado uno de los monederos de hardware de Bitcoin más seguros, diseñado específicamente para almacenamiento aislado de grado paranoico. El hecho de que haya sido vulnerado a esta escala, con lo que parece ser una ventana de explotación de larga duración, sacudirá la confianza entre los usuarios que han apostado todo su patrimonio neto en él. También complica la ya tensa conversación legislativa sobre las protecciones de autocustodia en Washington. Apenas unos días antes de una votación crucial en el Senado sobre una legislación histórica de criptomonedas—discutida en nuestra cobertura de cómo los bancos intentan remodelar el proyecto de ley—un exploit de esta magnitud da a los opositores de las normas liberales de autocustodia un nuevo y poderoso dato.
Los monederos de hardware se han vendido como la defensa definitiva contra los hackeos, pero siguen siendo vulnerables a ataques a la cadena de suministro, manipulación de firmware y exploits físicos de canal lateral. En este caso, el vector de entrada exacto no ha sido detallado públicamente por Coinkite o Galaxy, pero la existencia de tantos patrones distintos sugiere que no fue un solo error. Un generador de números aleatorios mal configurado, un componente de la cadena de suministro comprometido o una falla en los protocolos de comunicación del dispositivo podrían estar en juego. Para los usuarios que perdieron fondos, existe la amargura adicional de que la inmutabilidad de Bitcoin hace que la recuperación de fondos sea prácticamente imposible.
¿Qué sigue para las víctimas y el mercado?
Con más de 250 víctimas ya identificadas, las consecuencias legales y reputacionales se acumulan para Coinkite, el fabricante de Coldcard. La empresa aún no ha publicado un análisis técnico detallado post mortem, y el mercado está esperando ver si un parche es siquiera factible para el hardware existente o si son necesarios reemplazos. Hasta ahora, solo la línea propia de Coldcard parece infectada, pero el descubrimiento de múltiples atacantes independientes sugiere que la vulnerabilidad pudo haber sido ampliamente conocida en ciertos círculos antes de hacerse pública. Eso plantea la incómoda posibilidad de que el exploit fuera descubierto y comercializado de forma privada, convirtiéndose en titular solo después de que las pérdidas se dispararan.
Desde una perspectiva institucional, este evento empujará a los fondos y grandes tenedores a examinar más intensamente sus elecciones de dispositivos. Las configuraciones multifirma y las soluciones de almacenamiento en frío basadas en custodios pueden ver un interés renovado. La cuestión del seguro también resurge: la mayoría de los usuarios de autocustodia no tienen cobertura, mientras que los custodios regulados incluyen seguros en su servicio. La cifra de más de 130 millones de dólares, aunque pequeña en comparación con la capitalización total del mercado de Bitcoin, es lo suficientemente grande como para atraer la atención regulatoria en un momento en que los legisladores están sopesando cómo clasificar y supervisar a los proveedores de monederos.
La incertidumbre se cierne
Varias preguntas sin respuesta hacen que esta sea una historia que se desarrollará aún más. El informe de Galaxy no aclara cómo los atacantes lograron extraer las claves privadas o firmar transacciones sin acceso físico a los dispositivos. Es posible que la vulnerabilidad permitiera a un atacante que obtuvo acceso temporal—quizás durante el envío o a través de un revendedor comprometido—drenar fondos posteriormente sin acceso continuo. El hecho de que existan más de 25 patrones indica que se emplearon múltiples técnicas, y no se puede descartar que algunas víctimas usaran sin saberlo actualizaciones de firmware maliciosas de fuentes no oficiales.
La comunidad se queda sopesando si la marca Coldcard puede recuperar su reputación. La seguridad de los monederos de hardware es tanto una cuestión de confianza como de diseño criptográfico. Una vez que esa confianza se rompe a una escala de miles de monedas, el camino de regreso es largo. Mientras tanto, es probable que otros fabricantes utilicen este evento para comercializar sus propios dispositivos como superiores, y la lección más amplia para la industria es clara: la autocustodia exige vigilancia constante, y ningún dispositivo debe ser tratado como un escudo mágico.
Lectura relacionada: APX Lending lanza línea de crédito a cinco años respaldada por Bitcoin y Ethereum.
