COLDCARD y la seed predecible: cómo un defecto de hace cinco años provocó el robo de $130 millones en BTC

El 30 de julio de 2026 comenzó una oleada de retiradas masivas no autorizadas de bitcoin desde monederos creados en dispositivos hardware COLDCARD. A principios de agosto, los analistas on-chain habían confirmado el robo de aproximadamente 1.596 BTC; si se tiene en cuenta una posible cuarta oleada, el total potencial se estima en unos 2.055 BTC, cerca de 130 millones de dólares.

Este incidente se diferencia de los robos de criptomonedas habituales, y entender por qué importa más que la propia cifra. No hubo hackeo del dispositivo, phishing ni filtración de claves. Las claves de los usuarios eran predecibles desde el momento en que se crearon sus monederos. Así fue como resultó posible y esto es lo que cambia.

Qué ocurrió: no fue un hackeo, sino predictibilidad

La diferencia esencial entre este incidente y los escenarios conocidos es que el atacante no obtuvo acceso físico a los dispositivos, no eludió ningún PIN, no extrajo claves del elemento seguro ni instaló malware. No intervino ninguno de los vectores clásicos de compromiso de un monedero hardware.

Lo que ocurrió fue distinto: las frases seed generadas por dispositivos COLDCARD durante más de cinco años resultaron ser calculables. El ataque consistió en recorrer mediante fuerza bruta y sin conexión posibles seeds candidatas y comprobar después en la blockchain las direcciones derivadas. Cuando una dirección derivada de una candidata coincidía con una dirección real con saldo, los fondos eran retirados.

Esto cambia por completo el modelo del incidente. En un robo ordinario, la víctima queda definida por su conducta: pulsó un enlace de phishing, instaló malware o expuso sus claves. Aquí, la víctima queda definida únicamente por la fecha y el dispositivo en el que se generó la seed. Un usuario podía haber seguido todas las reglas de seguridad a la perfección y aun así ser vulnerable, porque el defecto se encontraba en la propia generación de aleatoriedad.

La causa raíz: un generador que no lo era

Técnicamente, la causa se reduce a un error de integración de una biblioteca introducido el 1 de marzo de 2021. Los dispositivos COLDCARD utilizan un generador físico de números aleatorios (TRNG), un componente dedicado que produce entropía auténtica. La generación de la seed debía apoyarse en él.

Sin embargo, debido a un error durante la compilación del firmware, la generación de aleatoriedad no se canalizó a través del TRNG físico, sino de un generador de software de propósito general llamado Yasmarang. No es un generador criptográfico. Se inicializaba con valores predecibles: el identificador del chip y los estados de los temporizadores, parámetros que un atacante puede determinar o acotar de manera considerable.

El aspecto más peligroso del defecto fue que permanecía completamente invisible. El generador físico no fallaba ni emitía errores; sencillamente no participaba en el proceso en el que los desarrolladores daban por hecho que intervenía. La compilación terminaba sin advertencias, el dispositivo funcionaba con normalidad y las seeds parecían válidas. Ni los usuarios ni las pruebas funcionales podían detectar el problema porque, en apariencia, todo funcionaba correctamente.

Como señalan los analistas de Match Systems, este es un ejemplo de manual de la clase de vulnerabilidad más peligrosa en la infraestructura cripto: el defecto no reside en el algoritmo criptográfico, sino en la fuente de aleatoriedad sobre la que este se construye. Un algoritmo robusto basado en entropía predecible no ofrece protección alguna. Verificar a posteriori la calidad de la generación aleatoria resulta extremadamente difícil, y precisamente por eso estos defectos pueden persistir durante años.

Alcance de la vulnerabilidad

El alcance afectado confirmado incluye dispositivos Mk2 y Mk3 cuyas seeds se generaron con firmware de marzo de 2021 en adelante. Los modelos Mk4, Mk5 y Q están afectados en menor medida, aunque todavía de forma significativa, gracias a un mecanismo de reseeding parcial procedente del elemento seguro.

Las estimaciones sobre la resistencia efectiva varían. En los modelos anteriores (Mk2/Mk3), el espacio de búsqueda pudo reducirse a unas pocas decenas de bits o menos; en determinadas configuraciones, el coste práctico de la fuerza bruta se aproxima a cero. En los modelos más recientes, la estimación superior llega a unos 70 bits, pero incluso eso está muy por debajo de los 128 bits que debería proporcionar una frase seed de 12 palabras.

El criterio práctico para los usuarios es más sencillo que la matriz de versiones: toda seed creada en un COLDCARD entre marzo de 2021 y la instalación del firmware corregido debe considerarse comprometida, con independencia de la versión que tenga actualmente el dispositivo.

Por qué tantas víctimas fueron atacadas a la vez

La escala masiva del incidente se explica por la transparencia de la blockchain, la misma propiedad que normalmente favorece a los investigadores. El atacante no necesitaba comprobar la actividad de cada candidata generada. Bastaba con comparar un conjunto amplio de direcciones derivadas con el conjunto de direcciones que mantenían saldo.

Esto hace que el ataque sea especialmente eficaz contra monederos antiguos y con fondos, y explica por qué propietarios sin relación entre sí perdieron sus activos al mismo tiempo. Lo único que tenían en común era el dispositivo y el periodo en el que generaron su seed.

Quién está detrás

Por ahora no se ha establecido la atribución, y aquí es importante emplear un lenguaje preciso. Las diferencias en la construcción de las transacciones entre las distintas oleadas de retiradas apuntan a varios operadores independientes, no a un único «hacker de COLDCARD». Según nuestra evaluación, podría haber al menos quince actores diferenciables, algunos de los cuales probablemente se sumaron después de la primera oleada.

La hipótesis de trabajo es la siguiente: un operador inicial descubrió el defecto y comenzó a explotarlo; después, la información sobre el espacio de búsqueda disponible se difundió o fue reproducida de forma independiente a partir del código abierto en poco tiempo. El código fuente del firmware de COLDCARD es público, en línea con el espíritu open source de la industria de bitcoin, pero en este caso redujo la barrera de entrada para los operadores que llegaron después.

Movimiento de los fondos y perspectivas de recuperación

Conviene mantener una visión realista, porque a menudo se confunde la transparencia de la blockchain con la posibilidad de recuperar los fondos.

Un factor favorable para la investigación es que, en gran medida, los fondos robados no se blanquearon de forma agresiva. La mayor parte de los BTC se consolidó en un número limitado de direcciones bajo el control de los atacantes, sin esquemas de ocultación multicapa. La cadena que va desde la dirección de la víctima, pasa por la transacción del robo y llega a la dirección de consolidación puede rastrearse directamente. Se han entregado a investigadores federales y empresas de cumplimiento unas 600 direcciones sospechosas de pertenecer a los atacantes.

Lo que limita las perspectivas —y debe decirse con claridad— es que bitcoin no dispone de un mecanismo de congelación por parte del emisor equivalente al que Tether aplica a USDT. La trazabilidad, por sí sola, no se convierte en recuperación. Solo aparecen puntos de presión reales en dos supuestos: cuando se intenta retirar el dinero mediante un exchange o servicio con KYC, donde puede bloquearse, o cuando las fuerzas del orden lo incautan. Mientras los fondos permanezcan inmóviles, ninguno de esos puntos está activo.

Ya se han registrado los primeros episodios de blanqueo: depósitos en Wasabi y Tornado Cash a principios de agosto, algunos a través de infraestructura cross-chain. Sin embargo, representan una proporción insignificante del volumen total. Mantener grandes sumas sin moverlas es una estrategia racional que puede prolongarse durante años.

La valoración de Match Systems es la siguiente: en este incidente, la calidad de la atribución sigue siendo alta y la posición para monitorizar, alertar anticipadamente a las plataformas y preparar remisiones a las autoridades es favorable. No obstante, la probabilidad de recuperación efectiva depende de la conducta futura de los operadores y, a estas alturas, no puede cuantificarse de forma razonable. Quien prometa a las víctimas una recuperación garantizada en esta situación las está engañando.

Conclusiones para la industria

El incidente de COLDCARD no es una historia sobre un mal monedero hardware. COLDCARD sigue siendo uno de los dispositivos más respetados del ecosistema bitcoin, y la rápida respuesta del fabricante —con correcciones publicadas en un día— lo confirma. Es una historia sobre la fragilidad fundamental de la generación de aleatoriedad y sobre cómo un único defecto invisible en la cadena de compilación puede anular todas las demás medidas de seguridad.

Tres conclusiones prácticas. Primera: si utilizó un COLDCARD para generar una seed después de marzo de 2021, migre a una nueva seed creada con el firmware actualizado, incluso si protegió el monedero con una passphrase. Una passphrase eleva el coste del ataque, pero no corrige una seed comprometida. Segunda: la seguridad del hardware no termina al comprar el dispositivo; el firmware y el origen de la entropía son críticos. Tercera, y más amplia: análisis paralelos han descubierto defectos similares en la gestión de entropía en otras bases de código. COLDCARD es el caso más visible, pero probablemente no sea el único de esta clase.

Para la industria cripto, la lección es clara: la confianza en un dispositivo debe poder verificarse, no darse por supuesta.