Robaron US$ 86 millones en Bitcoin de los monederos que prometían máxima seguridad

En el mundo de las criptomonedas, las billeteras fríos son la bóveda. Son dispositivos físicos, sin conexión a internet, diseñados para guardar Bitcoin y otras criptos lejos de cualquier hacker. Si tu dispositivo no está conectado a nada, nadie puede robarte nada.

Esa premisa acaba de quebrarse.

A fines de la semana pasada, la empresa canadiense Coinkite, fabricante de los dispositivos Coldcard, considerados entre los monederos fríos más seguros del mercado, notificó a sus usuarios que una vulnerabilidad en el software había comprometido las claves que protegen sus criptomonedas.

Para el lunes, los atacantes habían vaciado más de 4.500 billeteras, llevándose aproximadamente 1.367 bitcoins, unos 86 millones de dólares.

El ataque seguía en curso hasta el momento del reporte.

El hackeo afectó a más de 4.500 billeteras Coldcard y reabrió el debate sobre la seguridad de los monederos fríos.

Cómo los hackers pudieron reconstruir las claves privadas

La falla no estuvo en la conexión a internet porque no existía, sino en la matemática que genera las contraseñas.

Para acceder a un monedero frío se usa una "frase semilla", una cadena larga de palabras que funciona como la clave maestra de todo el dinero almacenado. Esa frase debe ser completamente aleatoria para ser segura.

Según un informe del equipo de ingeniería de Block, la empresa de Jack Dorsey, el problema es que los dispositivos Coldcard tenían un mecanismo de respaldo en su generador de números aleatorios que en ciertos casos producía claves generadas a partir de valores predecibles, como el número de serie del propio dispositivo.

En términos simples, las claves que debían ser aleatorias no lo eran del todo. Y si un atacante conoce el patrón, puede recalcularlas.

"Esto pone de manifiesto la falacia de que sus criptomonedas estén fuera de línea", dijo Aneirin Flynn, director ejecutivo de la empresa de ciberseguridad Failsafe. "El dispositivo solo se encarga de generar sus contraseñas, y si la matemática subyacente falla, sus contraseñas pueden ser objeto de ingeniería inversa."

La falla no estuvo en internet, sino en el mecanismo que generaba las frases semilla para proteger los fondos.

Qué dijo Coinkite y quiénes siguen en riesgo

Los primeros reportes del viernes ubicaban las pérdidas en alrededor de 38 millones de dólares. Para el lunes ya habían más que duplicado, llegando a 86 millones.

Una vez que los hackers entendieron el patrón de las claves, pudieron recalcular y vaciar billeteras de forma automatizada.

Coinkite confirmó en su sitio web que los fondos protegidos por semillas generadas con el firmware afectado están en riesgo, y dijo que ya tiene disponible un firmware corregido para todos los modelos afectados.

La empresa no aclaró cuántos dispositivos en total podrían estar comprometidos.

Coldcard es uno de los fabricantes de monederos físicos más reconocidos del ecosistema Bitcoin y ahora enfrenta su mayor crisis de seguridad.

Sombra sobre la custodia digital: las cifras que encienden las alarmas

El robo ocurre en un año en que el total de criptomonedas robadas había bajado respecto a 2025.

En el primer semestre de 2026, las pérdidas llegaron a 972 millones de dólares, menos de la mitad de los 2.300 millones del mismo período del año anterior, según TRM Labs.

Pero el número de ataques fue el más alto registrado en cualquier período de seis meses con 207 incidentes. Menos plata robada por ataque, más ataques en total.

El caso de Coldcard invierte esa tendencia en la dirección equivocada. 86 millones en un solo incidente, apuntando a los dispositivos que se suponía eran inmunes a este tipo de hackeo.

Para la comunidad cripto, que durante años usó los monederos fríos como argumento definitivo contra los riesgos de custodia digital, es una muestra de que la seguridad no depende solo de estar desconectado. Depende también de que la matemática adentro del dispositivo funcione como se supone que debe funcionar.

El robo de 86 millones de dólares no solo golpea a los usuarios afectados. En ciberseguridad, la confianza absoluta suele durar hasta que aparece la siguiente vulnerabilidad.

-----------------