¿Cansado de que un tuit te mueva el mercado? Los índices sintéticos de Deriv no reaccionan a noticias → Operá índices sintéticos en Deriv.
Espacio patrocinadoUn fallo en el firmware de las billeteras Coldcard, fabricadas por la canadiense Coinkite, permitió a uno o varios atacantes reconstruir las claves privadas de miles de usuarios y drenar sus fondos sin necesidad de tocar físicamente ningún dispositivo.
Según Galaxy Research, las pérdidas ascienden a unos 1.367 BTC -cerca de 89 millones de dólares- sustraídos de 4.585 direcciones en tres oleadas registradas hasta el 2 de agosto.
Los datos del incidente:
- Pérdidas: unos 1.367 BTC (cerca de 89 millones de dólares) de 4.585 direcciones, en tres oleadas hasta el 2 de agosto, según Galaxy Research.
- Causa: un firmware publicado en marzo de 2021 que sustituyó de forma silenciosa el generador de números aleatorios por hardware del dispositivo por uno de software predecible, según el equipo de ingeniería de Block.
- Alcance: las seeds generadas con las versiones de firmware v4.0.0 a v5.0.3 en los modelos Mk2 y Mk3.
Cómo funcionó el ataque
El atacante no vulneró la red Bitcoin ni sustrajo ningún equipo: el problema estuvo en cómo se creaban las claves. Toda billetera parte de un número aleatorio enorme -la seed- del que derivan las claves privadas, y su seguridad depende por completo de que ese número sea genuinamente impredecible.
El firmware afectado dejó de usar el generador aleatorio por hardware de la Coldcard y recurrió a un valor de software débil y determinista, lo que redujo drásticamente el universo de seeds posibles. Con esa debilidad, bastó una herramienta automatizada para recalcular las claves y vaciar las direcciones a distancia.
Bitcoin no fue hackeado
Conviene precisar el encuadre, porque no existe vulnerabilidad conocida en el protocolo Bitcoin. Lo comprometido fue el firmware de un fabricante de hardware, un componente de terceros.
La distinción importa: las claves nacidas de una seed débil siguen siendo adivinables sin importar dónde se guarden después, de modo que migrar esa seed a una Trezor, una Ledger o incluso a una Coldcard nueva no elimina el riesgo. El atacante no rastrea dispositivos, sino el reducido conjunto de números que el firmware defectuoso podía generar.
Qué deben hacer los usuarios
Coinkite reconoció el fallo y pidió a sus clientes actuar «con cuidado y calma», advirtiendo que apresurar una migración puede crear un riesgo mayor que el que se busca evitar.
La recomendación técnica es inequívoca: actualizar el firmware no repara una seed ya comprometida, y la única solución efectiva es generar una seed completamente nueva sobre el firmware corregido y trasladar allí los fondos, verificando siempre con una transacción de prueba pequeña.
Quienes protegieron su billetera con una passphrase BIP-39 que nunca escribieron en una computadora corren, según Coinkite, un riesgo mínimo frente a esta falla puntual.
El episodio reabre el debate sobre los límites de la autocustodia y llega en un momento de sentimiento frágil en el mercado. Jack Mallers, de Strike, lo describió como uno de los incidentes de seguridad más serios que ha atravesado Bitcoin.
