Un error de firmware introducido en marzo de 2021 por el fabricante canadiense de monederos de hardware Coinkite debilitó silenciosamente la aleatoriedad utilizada para generar frases semilla en los dispositivos Coldcard afectados. En lugar de obtener datos de una fuente robusta de entropía, el defecto redirigió la generación de frases semilla a un generador de números seudoaleatorios basado en software. En términos sencillos: los números "aleatorios" no eran lo suficientemente aleatorios, lo que hacía matemáticamente factible que los atacantes reconstruyeran las claves privadas sin tocar nunca el dispositivo físico.
¿Qué tan mal se puso?
La primera ola de ataque masivo ocurrió el 30 de julio de 2026. En aproximadamente 25 minutos, alrededor de 594 BTC, valorados en unos $38 millones, desaparecieron de aproximadamente 500 direcciones. Eso fue solo el acto inicial.
Galaxy Research identificó al menos tres olas separadas de ataques. A principios de agosto de 2026, las pérdidas totales habían aumentado a 1.816 BTC, valoradas entre $114 millones y $116 millones, distribuidas en más de 5.200 direcciones comprometidas. Los ataques se centraron casi exclusivamente en monederos de firma única, la configuración que utilizan la mayoría de los usuarios cotidianos, sin las capas adicionales de seguridad que proporcionan las configuraciones de firma múltiple.
El CEO de Coinkite y el equipo de ingeniería de Block confirmaron la existencia del error. Se emitieron actualizaciones de firmware de emergencia, con instrucciones urgentes para los usuarios afectados de generar nuevas frases semilla y mover sus fondos inmediatamente. Para muchos, ese consejo llegó demasiado tarde.
La vulnerabilidad en sí se remonta al 1 de marzo de 2021, afectando al Coldcard Mk3 y otros modelos importantes de esa época.
Lo que esto significa para la reputación de la autosuficiencia de custodia
Se suponía que los monederos de hardware eran el estándar de oro. Desconectados, aislados de la red, inmunes a explotaciones remotas. El incidente de Coldcard contradice directamente esa narrativa, y el momento es importante: esto no es una historia sobre un exchange sospechoso o un protocolo DeFi de corta duración. Coinkite es uno de los nombres más respetados en la cultura de seguridad de bitcoin.
Eso abre la puerta a los ETF de bitcoin. Los ETF de bitcoin al contado ya eliminaron la carga operativa de la gestión de claves para inversores institucionales y minoristas que buscaban exposición al bitcoin sin la ansiedad del monedero. Un hackeo de $114 millones a un dispositivo de hardware confiable acelera considerablemente el caso.
Los custodios institucionales se beneficiarán más directamente. Las empresas que ya operan dentro de marcos regulatorios, cuentan con seguro y gestionan custodia a gran escala mediante cómputo de múltiples partes o firma múltiple ahora tienen un nuevo dato clave para destacar en cada conversación de ventas.
Los monederos de firma única, el objetivo principal en estos ataques, siguen siendo la configuración más común entre los titulares individuales. Cualquier migración significativa alejándose de ese modelo, ya sea hacia ETFs, acuerdos de firma múltiple o servicios de custodia gestionada, representaría un cambio estructural en la distribución de la propiedad de bitcoin.