Un empresario canadiense perdió más de $1.6 millones en Bitcoin (BTC) de una billetera de hardware Coldcard en menos de siete minutos, parte de una ola que podría totalizar 1,367.05 BTC.
El caso expone una verdad incómoda sobre la autocustodia: hacer todo bien puede no ser suficiente.
Cómo un poseedor perdió 18 BTC en siete minutos
El almacenamiento en frío significa mantener las claves privadas en un dispositivo que nunca toca internet. Jonathan Goodman siguió ese principio cuidadosamente, guardando su Coldcard en una caja de seguridad.
Sus 18.25 BTC estaban en billeteras aseguradas en múltiples cajas fuertes. Nunca compartió su frase semilla y mantuvo cada dispositivo aislado de la exposición en línea.
Nada de eso importó el 29 de julio de 2026. Entre las 9:36 y las 9:43 de esa noche, cada billetera que controlaba fue vaciada.
Síguenos en X para obtener las últimas noticias a medida que suceden.
Goodman escuchó por primera vez sobre un problema más amplio mientras estaba en su cabaña.
Suponiendo que no le afectaría, revisó los saldos en el software de billetera Wasabi y encontró una serie de transacciones de retiro en rojo.
La vulnerabilidad se remonta a 2021. Un fallo en el código que genera frases semilla dejó ciertos dispositivos expuestos, y los atacantes supuestamente utilizaron inteligencia artificial para forzar las frases semilla afectadas.
Está presentando informes a la policía y a la Comisión de Valores de Ontario. Las esperanzas de recuperación siguen siendo escasas, aunque escribió que la parte más difícil fue haber hecho todo bien.
La escala se extiende mucho más allá de una víctima. Galaxy Research identificó tres olas de ataque sospechosas que apuntan a direcciones generadas por dispositivos Coldcard.
Esas olas involucraron 4,585 direcciones de origen y drenaron 1,367.05 BTC, que valían aproximadamente $88.6 millones en el momento del informe.
Lo que Galaxy Research encontró en los datos del ataque
El jefe de Galaxy Research, Alex Thorn, indica que los ataques parecen estar en curso. Instó a los usuarios que no han movido fondos de configuraciones potencialmente vulnerables a actuar de inmediato.
Las dos primeras olas mostraron patrones de transacción similares y pueden compartir un operador común, aunque eso sigue sin confirmarse. La tercera difirió significativamente, sugiriendo herramientas actualizadas o un actor separado explotando el mismo espacio de claves.
El Bitcoin robado permanece en direcciones controladas por los atacantes, sin más movimiento. Las tenencias drenadas habían estado inactivas durante un promedio de 3.18 años, lo que sugiere que la mayoría de las víctimas eran tenedores a largo plazo en lugar de instituciones.
Galaxy enfatizó una advertencia importante. Sus hallazgos se basan únicamente en datos en cadena y no han confirmado de manera definitiva la insuficiente aleatoriedad en la generación de las direcciones afectadas.
“…esto es un golpe para la autocustodia de bitcoin y necesitamos hacerlo mejor como comunidad: con seguridad, con educación y siendo realistas sobre la complejidad, las expectativas y las recomendaciones que hacemos a amigos, familiares y al público…,” dijo Alex Thorn.
El analista Shanaka Anslem Perera destacó una ironía más profunda en la propia documentación de Coldcard. El manual describe su método de generación de semillas por defecto como el que más confía, mientras lo etiqueta como de bajo riesgo para los usuarios.
Suscríbete a nuestro canal de YouTube para ver a líderes y periodistas proporcionar información experta..
Existen alternativas dentro del mismo dispositivo. Los usuarios pueden combinar la salida de hardware con tiradas de dados, o confiar solo en los dados, lo que el manual dice que elimina toda confianza en el hardware. La mayoría de los usuarios probablemente siguieron el camino por defecto. Ese es precisamente el método que Galaxy Research ahora vincula a las pérdidas.
La tensión conceptual es más profunda. La reproducibilidad, valorada para verificar el firmware, se convierte en un pasivo en la generación secreta, ya que tanto las semillas débiles como las fuertes producen frases válidas de 24 palabras que parecen idénticas.
Los dispositivos comercializados bajo una ética de “No confíes, verifica” aún pueden albergar fallos de entropía, dejando ninguna traza visible. Los usuarios afectados deben evaluar sus configuraciones y migrar fondos donde sea necesario.
Fuente: BeInCrypto
