Entre los mayores puntos fuertes del bitcoin ha estado siempre que los inversores no necesitan confiar en bancos y exchanges para proteger su dinero.
Esa promesa sufrió uno de sus mayores golpes —quizá el mayor— tras una falla en el fabricante de monederos de hardware popular Coinkite's Coldcard que permitió a los atacantes recrear las frases de recuperación del monedero y robar bitcoin de lo que los usuarios creían eran monederos seguros de autocustodia.
La vulnerabilidad ha sido corregida desde entonces, pero las consecuencias continúan. Los usuarios afectados deben generar nuevos monederos completamente y transferir sus fondos, ya que actualizar el firmware por sí solo no elimina el riesgo.
Mueve tus fondos ahora
“Si generó una semilla utilizando un monedero Coldcard, transfiera sus fondos ahora, siguiendo nuestras mejores prácticas actualizadas, antes de seguir leyendo”, escribió el CEO de Coinkite, NVK, en una carta abierta hace poco. Él agregó que, aunque la corrección protege nuevas semillas a partir de ahora, no corrige las semillas ya generadas con firmware vulnerable.
La explotación expone una creciente tensión a medida que el bitcoin ingresa al sistema financiero principal: la autosupervisión sigue siendo una de las características definitorias de la criptomoneda, pero la carga técnica de asegurar las claves privadas puede empujar cada vez más a los inversores comunes hacia custodios profesionales, exchanges y productos de inversión regulados.
Algunos defensores prominentes del bitcoin dicen que el incidente es uno de los fracasos más dañinos de la autocustodia que la industria ha experimentado.
“Este es el peor golpe en la historia del bitcoin contra los bitcoineros más conocedores y ‘debidamente protegidos’,” dijo el comentarista de bitcoin Guy Swann. “Esto no es un exchange siendo hackeado por claves en caliente. Esto es miles de individuos cuyas claves privadas personales han sido recreadas debajo de ellos.”
Intercambiar un riesgo por otro
Durante años, los defensores del bitcoin han argumentado que poseer las claves privadas elimina el riesgo de contraparte de los exchanges centralizados, una lección reforzada por fracasos como FTX. Los analistas ahora sostienen que los usuarios simplemente han intercambiado un conjunto de riesgos por otro.
"El espacio de hardware de auto-custodia es un desastre en este momento y genera más mala reputación para la industria que cualquier otra cosa," dijo Lorenzo Valente, director de investigación de activos digitales en ARK Invest.
"En la práctica, los consumidores han intercambiado el riesgo de contraparte por el riesgo de software, el riesgo de hardware, el riesgo de la cadena de suministro, el riesgo de phishing, el riesgo de respaldo y la posibilidad de perderlo todo por un solo error", dijo. "Francamente, hoy en día es mejor tener fondos distribuidos entre varios exchange públicamente cotizados o ETFs."
La falla de Coldcard ilustra ese desafío. Los investigadores descubrieron que ciertas versiones del firmware generaban semillas de monedero con mucho menos aleatoriedad de la prevista, lo que las hace susceptibles a ataques de fuerza bruta.
Incluso la solución recomendada generó críticas.
“No se le puede pedir a la gente que tire dados para ser segura con su autocustodia”, dijo el CEO de Casa, Nick Neuman, refiriéndose a las recomendaciones de que los usuarios complementen la aleatoriedad generada por el monedero con lanzamientos de dados físicos. “Es un no-start para el 99% de las personas.”
La seguridad ya no es pasiva
El incidente también destaca cómo las amenazas de ciberseguridad están evolucionando rápidamente, ya que la inteligencia artificial reduce el costo de descubrir vulnerabilidades en software.
"La idea de que tu bitcoin descanse tranquilo en algún lugar secreto mientras tú disfrutas de la vida sin preocuparte por él es actualmente irrealista," escribió Udi Wertheimer, desarrollador de Taproot ampliamente seguido, en X.
En lugar de tratar la seguridad como algo que los usuarios pueden configurar una vez y olvidar, argumentó que los titulares de bitcoin necesitan cada vez más ya sea monitorear constantemente nuevas amenazas ellos mismos o confiar en custodios profesionales con equipos de seguridad dedicados.
“Si no quieres preocuparte, necesitas pagar a alguien más para que se preocupe,” dijo.
La explotación de Coldcard también encaja en una tendencia más amplia en los ataques cripto. Según la empresa de seguridad blockchain Blockaid, la mayoría de las pérdidas en el primer semestre de 2026 no provinieron de ataques a contratos inteligentes, sino de claves comprometidas y fallos en la seguridad operacional.
"Coldcard encaja en ese patrón, con la exposición que se origina en la etapa de generación de la clave", dijo Ido Ben-Natan, cofundador y CEO de Blockaid. Él dijo que el incidente pone de manifiesto cuánto confían los usuarios en sistemas de seguridad con los que nunca interactúan directamente.
“La seguridad de un monedero de hardware depende en última instancia del firmware y los sistemas con los que los usuarios interactúan pero nunca ven”, dijo Ben-Natan. “Eso significa que las medidas de protección deben implementarse aguas arriba, antes de que el usuario tome el control de sus activos”. Los fabricantes de monederos de hardware argumentan que el incidente resalta la importancia de una ingeniería segura más que una falla en la autogestión en sí.
"Este incidente es un buen ejemplo de por qué el firmware de código abierto no debería equipararse automáticamente con una mejor seguridad", dijo Andrew Lazutkin, director de tecnología de Tangem. "En última instancia, la seguridad proviene de una arquitectura sólida, pruebas exhaustivas y verificación independiente."
Un impulso para el bitcoin institucional
La explotación también podría fortalecer el caso para la custodia institucional en un momento en que los ETF de bitcoin al contado están atrayendo a inversores principales.
David Lawrence, cofundador de Amicus, dijo que incidentes como el de Coldcard es probable que empujen a nuevos inversores hacia productos regulados como el iShares Bitcoin Trust de BlackRock (IBIT), en lugar de gestionar ellos mismos las claves privadas.
“Esto también es otra victoria para 'Big Bitcoin',” dijo Lawrence, añadiendo que tras incidentes como este, los nuevos inversores que desean mantener bitcoin podrían decir: “Estoy más seguro simplemente comprando IBIT.”
Él argumentó que el incidente podría marcar un punto de inflexión para uno de los ideales más antiguos de Bitcoin.
“Esto es enormemente dañino para las personas que creen que 8 mil millones de personas mantendrán su bitcoin en almacenamiento en frío en el futuro,” dijo Lawrence. “Ese sueño ha terminado. Finalizado.”