TECNOLOGÍA.— Una vulnerabilidad de software en las billeteras físicas Coldcard, consideradas entre las opciones más seguras para almacenar Bitcoin fuera de internet, permitió a hackers robar más de 1.755 BTC, equivalentes a unos u$s 110 millones, en un ataque que continúa en desarrollo.

La empresa canadiense Coinkite, fabricante de los dispositivos, alertó a sus usuarios a fines de la semana pasada sobre una falla de seguridad que comprometió algunas billeteras generadas con versiones específicas del firmware. Según estimaciones de Galaxy Research, alrededor de 5.000 billeteras resultaron afectadas.

Una falla en la generación de las claves

Las billeteras Coldcard pertenecen a la categoría de cold wallets, dispositivos físicos que almacenan las claves privadas completamente desconectadas de internet y que suelen considerarse la forma más segura de custodiar criptomonedas.

Sin embargo, el problema no estuvo en la conexión a internet sino en la generación de las llamadas «seed phrases», las frases de recuperación que permiten acceder a una billetera.

De acuerdo con un informe del equipo de ingeniería de Block Inc., el generador de números aleatorios utilizado por determinados modelos presentaba una implementación defectuosa. Cuando fallaba el mecanismo principal de aleatoriedad, el sistema recurría a valores determinísticos, como el número de serie del dispositivo, haciendo que las frases pudieran ser calculadas por un atacante.

Como consecuencia, los hackers pudieron reconstruir las claves privadas y vaciar sistemáticamente las billeteras afectadas.

Las pérdidas crecieron rápidamente

Las primeras estimaciones situaban el robo en unos u$s 38 millones, pero durante el fin de semana la cifra escaló hasta superar los u$s 110 millones.

Uno de los afectados, Jonathan Goodman, relató que inicialmente creyó que el problema no lo alcanzaba.

«Cuando abrí la billetera vi las líneas rojas con las transferencias. Entre las 21:36 y las 21:43 del 29 de julio vaciaron completamente mis tres billeteras», contó.

Coinkite lanzó una actualización

La compañía confirmó que los fondos protegidos con frases generadas por las versiones vulnerables del firmware continúan en riesgo.

Como respuesta, publicó nuevas versiones del software para todos los modelos afectados e instó a los usuarios a actualizar inmediatamente sus dispositivos y migrar los fondos hacia billeteras creadas con el firmware corregido.

El caso reabre el debate sobre la autocustodia

Especialistas en ciberseguridad remarcaron que el incidente demuestra que almacenar criptomonedas fuera de internet no elimina todos los riesgos.

«La billetera solo genera las contraseñas. Si la matemática detrás del proceso está comprometida, esas claves pueden reconstruirse», explicó Aneirin Flynn, CEO de la firma de ciberseguridad Failsafe.

Ari Redbord, director global de políticas de TRM Labs, señaló que las vulnerabilidades en infraestructura y en la gestión de claves representan apenas el 15% de los hackeos, pero concentran el 76% del dinero robado.

Menos dinero robado, pero más ataques

Pese a este incidente, los robos de criptomonedas muestran una tendencia mixta durante 2026.

Según TRM Labs, durante el primer semestre del año se sustrajeron u$s 972 millones, menos de la mitad de los u$s 2.300 millones registrados en el mismo período de 2025.

No obstante, la cantidad de ataques siguió creciendo: se contabilizaron 207 hackeos, el mayor número registrado para un primer semestre.

El episodio de Coldcard vuelve a poner el foco sobre uno de los principales desafíos de la industria: la seguridad de la autocustodia depende no solo de mantener los activos fuera de internet, sino también de la solidez del software encargado de generar y proteger las claves criptográficas.