Cuando falla la seguridad del hardware, el dinero se mueve. Esa parece ser la lección de una vulnerabilidad significativa revelada en monederos de hardware Coldcard más antiguos a finales de julio de 2026, lo que provocó un flujo de capital hacia ETFs de bitcoin al contado, incluyendo $IBIT, $FBTC, $BITC, $ARKB y $MSBT, con flujos diarios combinados que sumaron $620 millones tras la brecha.
¿Qué sucedió realmente con Coldcard?
El 30 de julio de 2026, Coinkite, la empresa canadiense detrás del monedero de hardware Coldcard, reveló una vulnerabilidad de firmware que afecta a modelos antiguos, incluida la serie Mk3.
La falla no se trataba de alguien que robaba físicamente un dispositivo. Era más sutil y, en algunos aspectos, más aterradora. La vulnerabilidad redujo la entropía utilizada durante la generación de la frase semilla a aproximadamente 40 bits. En inglés: la aleatoriedad incorporada en la creación de la clave maestra de un monedero era mucho más débil de lo que debería haber sido, lo que hacía matemáticamente factible que un atacante reconstruyera las claves privadas desde cero.
Galaxy Research estimó que entre 1.367 y 1.816 BTC fueron extraídos de más de 5.200 direcciones de monedero en los días posteriores al descubrimiento del exploit. A los precios vigentes al momento de la brecha, eso equivale a pérdidas aproximadas de $89 millones a $116 millones.
Los robos se movieron rápidamente. La mayor parte del daño ocurrió entre finales de julio y principios de agosto de 2026, con Galaxy Research identificando aproximadamente 1.367 BTC extraídos de 4.585 direcciones afectadas cuando se publicaron los primeros conteos. El CEO de Coinkite, Rodolfo Novak, respondió públicamente el 31 de julio, aconsejando a los usuarios cuyas frases semilla se generaron en dispositivos afectados que transferieran sus fondos inmediatamente.
Los modelos más recientes de Coldcard experimentaron un grado menor de exposición. La reducción de entropía fue parcial y no completa en el hardware más reciente, lo que limitó pero no eliminó su vulnerabilidad en comparación con las unidades antiguas.
El precio del bitcoin lo ignoró. Los flujos de los ETF no.
La reacción del precio del bitcoin fue notablemente contenida. A pesar de una brecha que eliminó decenas de millones de dólares para miles de titulares de monederos, el mercado en general registró solo una leve caída de aproximadamente el 3% antes de estabilizarse cerca de los niveles anteriores.
La señal más interesante provino de los flujos de los ETF. Los ETF de bitcoin spot registraron un flujo diario combinado de $620 millones durante el período posterior a la divulgación de Coldcard, en tickers que incluyen el iShares Bitcoin Trust, el Fidelity Wise Origin Bitcoin Fund, el ARK 21Shares Bitcoin ETF y otros. Los flujos individuales por sesión dentro de ese período oscilaron entre $91,84 millones en el extremo inferior y cantidades entre $170 millones y $244 millones en días más fuertes.
La investigación señala que los informes sobre una correlación directa entre el hack y los ingresos de 620 millones de dólares en ETFs de bitcoin permanecen sin confirmar, aunque el momento sugiere un posible desplazamiento hacia la seguridad entre inversores conscientes de los riesgos planteados por las vulnerabilidades de hardware. La cifra de 620 millones de dólares abarca múltiples productos, lo que significa que esto no fue una anomalía de un solo fondo impulsada por una sola orden institucional grande.
Qué significa esto para el debate sobre la autosuficiencia de custodia
Una falla de firmware que compromete la generación de entropía no solo afecta a las personas que perdieron fondos. Introduce dudas en la población más amplia de usuarios de monederos hardware que no saben si su frase semilla fue generada con suficiente aleatoriedad.
Para los inversores que actualmente tienen bitcoin en autoservicio en hardware más antiguo, la pregunta práctica inmediata es si su frase semilla fue generada en un dispositivo o versión de firmware afectado por la falla de entropía reducida.