La industria de los monederos hardware construyó su reputación sobre una promesa sencilla: mantenga su bitcoin fuera de línea y manténgalo seguro. Esa promesa sufrió un golpe serio el 30 de julio de 2026, cuando los atacantes comenzaron a explotar una vulnerabilidad en los monederos hardware Coldcard de Coinkite, drenando finalmente lo que las estimaciones revisadas sitúan en 1.816 BTC, aproximadamente $114 millones, de más de 5.200 direcciones. Algunas estimaciones sugieren que las pérdidas totales podrían superar los $130 millones mientras continúe la actividad de transferencia.
La vulnerabilidad se remonta a la versión 4.0.1 del firmware, lanzada por Coinkite en marzo de 2021. La falla comprometió la aleatoriedad utilizada al generar las semillas de los monederos, que son las claves maestras de las cuales se derivan todas las claves privadas en un monedero de bitcoin. La fuerza de la clave, que idealmente debería ser de 128 bits de entropía, bajó hasta 40 bits en los dispositivos afectados. Con 40 bits, los ataques de fuerza bruta se vuelven computacionalmente factibles con hardware moderno.
A principios de agosto, Galaxy Research estimó pérdidas de aproximadamente 1.367 BTC en 4.585 direcciones. A medida que los atacantes continuaron saqueando monederos vulnerables en olas subsiguientes, esa cifra aumentó a 1.816 BTC implicados en más de 5.200 direcciones. La progresión es importante porque indica que la explotación no fue un ataque aislado, sino una operación sistemática y continua que apuntaba a cada monedero con el firmware defectuoso.
Coinkite no ha emitido una estimación específica de pérdidas. La empresa ha indicado que está realizando un análisis post mortem antes de comentar sobre el alcance completo del compromiso de los dispositivos y el impacto en los usuarios.
La ironía es que esta explotación no requirió ninguna conexión a internet para tener éxito. La vulnerabilidad residía en la lógica de generación de claves del firmware. Cualquier monedero sembrado con una versión comprometida de ese firmware era vulnerable desde el momento en que se creó, independientemente de cuán cuidadosamente el propietario protegiera el dispositivo físico posteriormente.
Los analistas de Galaxy Research sugieren que la explotación podría acelerar un cambio hacia vehículos de inversión en bitcoin regulados. Los proveedores de ETF confían en custodios institucionales que operan bajo supervisión regulatoria, con marcos de seguro y auditorías de seguridad que los usuarios individuales de monederos de hardware no pueden replicar.
Para los inversores que actualmente tienen bitcoin en cualquier monedero de hardware, la prioridad inmediata es la verificación. Si un dispositivo fue inicializado con la versión 4.0.1 del firmware de Coldcard, los fondos deben transferirse a un monedero generado en un dispositivo diferente y verificado como medida preventiva. Esperar el informe oficial de Coinkite antes de actuar es un cálculo de riesgo que muchos titulares pueden no querer asumir mientras continúan los barridos activos.