El sector de la autocustodia se ha visto sacudido por el descubrimiento de una vulnerabilidad crítica que afecta a las carteras de hardware Coldcard. Identificada el 30 de julio de 2026, esta falla, presente desde hace cinco años, ha permitido una sustracción espectacular de 1 824 BTC, con un valor estimado de casi 140 millones de dólares según los últimos balances. Este pirateo, orquestado en oleadas sucesivas, se basa en un fallo crítico en el generador de números aleatorios de ciertos modelos, lo que hace que las frases semilla sean predecibles y, por tanto, vulnerables a ataques de fuerza bruta.

El origen técnico del problema reside en una biblioteca de software que puenteaba el generador de hardware por alternativas menos robustas. Mientras que el hardware debería garantizar un nivel de entropía de 128 bits, los dispositivos afectados descendían a unos 40 bits, lo que hace que descifrar las claves sea factible con medios de cálculo rudimentarios o incluso con inteligencia artificial de consumo. Cabe destacar que los usuarios que habían configurado una passphrase BIP-39 adicional evitaron este robo, lo que subraya la importancia de añadir una capa de seguridad extra más allá de la simple semilla de recuperación.

La reacción de los poseedores ha estado marcada por un movimiento de repliegue masivo, no hacia la salida del mercado, sino hacia una consolidación defensiva. Cerca de 120 000 BTC inactivos han sido trasladados por propietarios preocupados, lo que ilustra una creciente desconfianza hacia las soluciones de hardware tras esta revelación. A pesar de la magnitud del botín, la gran mayoría de los fondos sustraídos —alrededor del 87 %— permanece inactiva en las carteras de los atacantes, lo que sugiere que el blanqueo de estos activos sigue siendo una operación compleja y arriesgada para los autores del robo.

Este incidente pone de manifiesto una grieta profunda en la promesa de seguridad infalible del hardware dedicado. Si bien el parche de software publicado por el fabricante evita nuevas vulnerabilidades, no sirve para las claves generadas antes de la actualización, lo que obliga a los usuarios afectados a migrar sus fondos a nuevas direcciones. Más allá de las pérdidas financieras, este evento ha obligado a la empresa a modificar sus prácticas de conservación de datos, provocando un replanteamiento de su filosofía inicial centrada en la privacidad total, al tiempo que recuerda que la seguridad depende tanto de la calidad del código como del rigor de la implementación del hardware.