⚠️ Usuarios de Coldcard pierden millones por una falla de firmware de 2021 Uno de los incidentes más relevantes de seguridad en la autocustodia de Bitcoin dejó una lección clave: la protección de una hardware wallet depende principalmente de la seguridad con la que se generan las semillas. Una vulnerabilidad vinculada a versiones de firmware de Coldcard lanzadas en 2021 permitió que atacantes drenaran cientos de monederos sin acceso físico a los dispositivos, sin phishing y sin malware. Los reportes estiman que entre 594 bitcoin:native y más de 1.082 BTC pudieron haber sido sustraídos, equivalentes aproximadamente a entre $38 millones y $70 millones. El ataque se ejecutó en una ventana reducida de entre 25 y 40 minutos y afectó a wallets cuyas semillas fueron generadas durante el periodo vulnerable. Muchas de las direcciones comprometidas permanecían inactivas desde hacía años, con fondos almacenados desde la creación de esas seeds. Según análisis on-chain, el atacante habría priorizado primero las wallets con mayores saldos, incluyendo una con aproximadamente $1,8 millones. Posteriormente, amplió el drenaje mediante un proceso automatizado que permitió barrer otras direcciones vulnerables, lo que sugiere una identificación previa de los monederos afectados. La causa técnica estuvo relacionada con una entropía insuficiente durante la generación de semillas en determinados modelos Coldcard, especialmente dispositivos Mk3 con firmware afectado. En lugar de utilizar correctamente la aleatoriedad del hardware, el proceso podía generar seeds predecibles que permitían reconstruir claves privadas de forma remota. Coinkite recomendó a los usuarios potencialmente afectados migrar sus fondos a nuevas wallets creadas con firmware actualizado. El incidente refuerza un principio fundamental de seguridad: si la generación de la seed falla, incluso protecciones avanzadas como el diseño air-gapped y el hardware seguro pierden gran parte de su efectividad.