Hackeo a Coldcard: Robo de $116M en Bitcoin por falla en RNG

Una billetera de hardware se supone que es la parte aburrida y confiable de poseer Bitcoin. Conéctala, genera una semilla, mantén la semilla fuera de línea, duerme bien. Esa premisa recibió un golpe directo este verano cuando Coinkite, fabricante de la popular billetera Coldcard, confirmó que un error de firmware que se remonta a marzo de 2021 había hecho que miles de claves privadas fueran adivinables de forma silenciosa. Los atacantes drenaron aproximadamente 1,816 BTC, con un valor de unos $116 millones en ese momento, de más de 5,200 direcciones en cuatro oleadas separadas entre el 30 de julio y el 4 de agosto de 2026. A mediados de septiembre, el incidente seguía figurando como el mayor exploit de billetera de hardware registrado, según la firma de análisis de blockchain TRM Labs.

El hackeo de Coldcard ocurre en un año ya saturado con pérdidas de criptomonedas de nueve cifras, pero se distingue del habitual exploit de puente DeFi o de la brecha en un exchange. Nadie robó una contraseña. Nadie hizo phishing de una clave privada. Las billeteras hicieron exactamente lo que se les dijo a los compradores que harían: generar una frase semilla fuera de línea, en un dispositivo dedicado, lejos de cualquier red. La semilla simplemente nunca fue tan aleatoria como Coinkite afirmaba. Esa distinción es la razón por la que investigadores de seguridad, defensores de la autocustodia y ahora fabricantes de billeteras competidoras están tratando esto como un tipo de advertencia diferente a la de un titular de hackeo típico.