19 de agosto de 2026

Fallo de seguridad de Coldcard: Cómo un error de aleatoriedad en un monedero de hardware provocó un robo masivo de Bitcoin

Coldcard, un monedero de hardware diseñado para usuarios dedicados de Bitcoin, admite solo Bitcoin, funciona fuera de línea, se basa en código de fuente abierta y se ensambla en Canadá. Sin embargo, a partir de marzo de 2021, ciertas unidades de Coldcard produjeron claves privadas para los clientes basándose en el número de serie del dispositivo y su reloj interno, en lugar del chip especializado destinado a generar números aleatorios. Esto hizo que esas claves fueran considerablemente más fáciles de predecir.

El 30 de julio, un hacker sustrajo 594 Bitcoin de aproximadamente 500 monederos inactivos en un lapso de 25 minutos. Galaxy Research ha vinculado el robo más amplio a 1,082 Bitcoin repartidos en 1,196 direcciones. Para el 2 de agosto, la cifra había ascendido a casi 1,367 Bitcoin, valorados en unos $88.6 millones.

El atacante no necesitó acceso físico a los monederos. El código fuente de Coldcard es de libre acceso, al igual que los datos en la cadena de bloques de Bitcoin. El atacante aparentemente invirtió varias semanas en descifrar las posibles claves que el software defectuoso podría haber generado. Esas claves podrían luego compararse con direcciones de Bitcoin que contenían fondos. Después de identificar los monederos expuestos, el atacante movió los Bitcoin. El robo propiamente dicho duró solo 25 minutos.