⚠️ Usuarios de Coldcard pierden millones tras una falla en el firmware de 2021 Uno de los incidentes de seguridad más significativos en autoservicio que involucra bitcoin ha puesto de manifiesto una lección crítica: los monederos de hardware dependen, por encima de todo, de la seguridad del proceso de generación de la semilla. Una vulnerabilidad en Coldcard relacionada con versiones de firmware lanzadas en 2021 permitió a los atacantes vaciar cientos de monederos sin necesidad de acceso físico, phishing ni malware. Los informes estiman que entre 594 BTC y más de 1.082 bitcoin podrían haber sido robados, lo que representa pérdidas potenciales de aproximadamente $38 millones a $70 millones. El ataque se desarrolló en un breve período de entre 25 y 40 minutos, dirigido a monederos cuyas semillas fueron generadas durante el período con firmware vulnerable. Muchas direcciones afectadas habían permanecido inactivas durante años, con fondos almacenados desde la creación de las semillas comprometidas. Según el análisis en cadena, el atacante pareció priorizar primero los monederos de mayor valor, incluyendo uno que contenía aproximadamente $1,8 millones. La operación luego se expandió en un barrido automatizado de direcciones vulnerables adicionales, lo que sugiere una identificación previa de los monederos afectados. La causa raíz se vinculó a una entropía insuficiente durante la generación de la semilla en ciertos modelos de Coldcard, particularmente dispositivos Mk3 que usaban versiones afectadas del firmware. En lugar de confiar correctamente en la aleatoriedad basada en hardware, el proceso podía generar semillas predecibles que permitían reconstruir las claves privadas remotamente. Coinkite aconsejó a los usuarios potencialmente afectados que migren sus fondos a nuevos monederos generados con firmware actualizado. El incidente refuerza un principio fundamental de seguridad: si falla la generación de la semilla, incluso protecciones robustas como el diseño air-gapped y el hardware seguro no pueden proteger completamente los fondos del usuario.