Galaxy Research, la rama de investigación de Galaxy Digital, ha ampliado el alcance en la cadena del incidente del monedero Coldcard tras identificar 1.196 direcciones de Bitcoin afectadas. En un período de 41 minutos, esas direcciones perdieron un total de 1.082,65 BTC, valorados en aproximadamente $70,2 millones en el momento en que ocurrieron las transacciones.
Los nuevos hallazgos empujan aún más las estimaciones anteriores, ayudando a aclarar qué podrían haber ejecutado los atacantes inmediatamente después de que las billeteras vulnerables generaran semillas. El rastreo de Galaxy Research cubre movimientos entre las 1:10 AM y las 1:51 AM UTC del 30 de julio, en los bloques 960,183 a 960,191, aproximadamente 30 horas antes de que Coldcard publicara su primer aviso de seguridad.
Principales conclusiones
- Galaxy Research identificó 1.196 direcciones vinculadas al incidente de Coldcard y rastreó pérdidas de 1.082,65 BTC en un período de 41 minutos.
- La actividad identificada ocurrió entre las 1:10 AM y las 1:51 AM UTC del 30 de julio, en los bloques 960,183–960,191, aproximadamente 30 horas antes del aviso inicial de Coldcard.
- Las estimaciones anteriores del CEO de AnchorWatch, Rob Hamilton, fueron más bajas, indicando 594.48 BTC moviéndose a través de una ventana de tres bloques más ajustada.
- Galaxy Research dice que las transacciones comparten un patrón distintivo en la cadena: tarifas idénticas de 30 satoshis por byte virtual y sin salidas de cambio, pero los siguientes barridos podrían diferir.
Galaxy Research amplía el mapa de ataque
Galaxy Research dice que rastreó los movimientos de Bitcoin relacionados con el incidente hasta un aumento específico de actividad el 30 de julio. El esfuerzo de investigación se centra en las direcciones vinculadas a la vulnerabilidad del monedero Coldcard que fueron vaciadas entre las 1:10 y las 1:51 UTC.
Según Galaxy Research, las pérdidas acumuladas en un breve intervalo de bloques—960,183 a 960,191—indican que el ataque probablemente operó con automatización y estructura de transacciones repetida, en lugar de movimientos manuales esporádicos. En el momento de las transferencias salientes, la cifra de 1,082.65 BTC tenía un valor aproximado de $70.2 millones.
El momento también es notable: la ventana de rastreo de Galaxy Research comenzó aproximadamente un día antes del primer aviso de seguridad emitido públicamente por Coldcard, lo que sugiere que los fondos comprometidos fueron movidos temprano y que el ciclo de respuesta se retrasó respecto al primer movimiento.
El emparejamiento de patrones ayuda a confirmar transacciones relacionadas—dentro de límites
En el análisis de seguimiento, Galaxy Research dijo que las transacciones identificadas comparten una firma común. La empresa informó que los barridos utilizaron tarifas idénticas de 30 satoshis por byte virtual y que las transacciones no contenían salidas de variación.
Esas características son útiles para los investigadores porque proporcionan una huella en la cadena para agrupar actividades relacionadas con monederos, lo que puede reducir las posibilidades de atribuir incorrectamente transferencias no relacionadas. Galaxy Research también advirtió que, aunque la actividad inicial del ataque es identificable a través de este patrón, los ataques posteriores contra direcciones generadas por Coldcard podrían no conservar la misma huella.
Para usuarios y analistas, esta distinción es importante: implica que los totales de incidentes basados únicamente en una estructura de transacción reconocible podrían subestimar rondas adicionales de actividad si estas posteriores barridas diferían en configuraciones de tarifas o comportamiento de salida.
Las estimaciones anteriores eran más pequeñas, pero basadas en una ventana más estrecha
Antes del mapeo más amplio de Galaxy Research, un análisis preliminar anterior del CEO y cofundador de AnchorWatch, Rob Hamilton, estimó que 594,48 BTC—aproximadamente $38 millones en ese momento—se movieron a través de 500 transacciones dentro de una ventana de tres bloques.
Las cifras de Hamilton se basaron en un segmento más reducido de la actividad en la cadena, reflejando cómo los incidentes de monederos de movimiento rápido a menudo superan las investigaciones iniciales. El conjunto ampliado de Galaxy Research actualiza efectivamente la imagen al ampliar tanto el conjunto de direcciones como el período rastreado alrededor del pico del 30 de julio, casi duplicando el total de BTC atribuido a la actividad de recopilación.
La divergencia entre las estimaciones subraya un desafío común en la respuesta a incidentes en sistemas de auto-custodia: determinar el alcance completo puede requerir días de rastreo, agrupación y validación, especialmente cuando los atacantes reutilizan lógica similar en múltiples transacciones y destinos.
Coinkite reconoce un error de firmware y recomienda la migración de la semilla
El fabricante de Coldcard, Coinkite, asumió la responsabilidad por el problema subyacente. En una publicación en X el viernes, el cofundador de Coinkite, Rodolfo Novak, dijo que la empresa está trabajando para determinar el alcance completo del problema y confirmó que lanzó un hotfix diseñado para eliminar una ruta de respaldo de software.
Novak también destacó una limitación de la mitigación: la actualización no protege las frases semilla generadas en el firmware vulnerable. En términos prácticos, se aconsejó a los usuarios que crearon frases semilla durante el período afectado que transfirieran sus fondos a una nueva frase semilla.
Esta guía se alinea con el riesgo principal en compromisos basados en semillas: si una vulnerabilidad afecta cómo se comportan los materiales de semilla o las rutas de ejecución relacionadas, simplemente actualizar el firmware puede no asegurar retroactivamente las claves ya generadas. La implicación operativa inmediata para los titulares afectados es que la recuperación requiere una transferencia a material de clave más seguro, no solo una actualización del dispositivo.
Qué observar a continuación para los usuarios afectados
La identificación por parte de Galaxy Research de un patrón común de barrido en la cadena ofrece una base más estructurada para rastrear actividades relacionadas, pero la advertencia de la empresa de que futuros ataques podrían no coincidir con la misma huella sugiere que el incidente aún podría evolucionar en su apariencia en la cadena. Los usuarios preocupados por si generaron semillas con firmware vulnerable deben centrarse en migrar los saldos restantes a semillas recién generadas y continuar monitoreando cualquier movimiento residual vinculado a direcciones relacionadas con la lógica de barrido.
Este artículo se publicó originalmente como Coldcard Bitcoin Loss Estimate Up to $70M After Galaxy Review en Crypto Breaking News: tu fuente confiable para noticias de cripto, noticias de bitcoin y actualizaciones de cadena de bloques.