Changpeng Zhao, fundador de Binance, lanza una alerta tras el exploit de dispositivos Coldcard, vulnerados por una falla de software que arrastraba desde marzo de 2021.
La autocustodia acaba de recibir uno de sus golpes más duros: aproximadamente 70 millones de dólares en Bitcoin robados a usuarios de Coldcard, el monedero de hardware de Coinkite. No hubo hackeo de exchange, ni malware en el navegador, ni acceso físico a los dispositivos. Hubo algo mucho más incómodo: un fallo de firmware que databa de marzo de 2021 y que llevaba años latente dentro de aparatos que sus dueños creían inexpugnables.
Un fallo en la raíz: la aleatoriedad rota
El origen del exploit está en una versión de firmware que debilitó la aleatoriedad en la generación de las semillas de recuperación en ciertos modelos Coldcard. Cuando la entropía que sustenta una seed phrase se degrada, el espacio de claves posibles se encoge y lo que debería ser matemáticamente inalcanzable se vuelve computable. Eso es exactamente lo que ocurrió: el atacante pudo reconstruir las claves privadas sin necesidad de tocar el dispositivo, sin phishing y sin que la víctima cometiera ningún error operativo.
Es una distinción crítica. La billetera fría protege frente a un ordenador comprometido, pero no puede proteger frente a una semilla que nació débil. La superficie de ataque no estaba en la conexión, estaba en el origen.
Las cifras del drenaje
El ataque se ejecutó con precisión industrial. En una ventana de apenas 25 minutos se drenaron alrededor de 38 millones de dólares procedentes de unas 500 billeteras. El recuento agregado del incidente, según cifras atribuidas a Galaxy Research, asciende a 1.082,65 bitcoin movidos desde 1.196 direcciones en un intervalo de 41 minutos, con 594 bitcoin como núcleo del botín valorado en torno a los 70 millones de dólares. Se estima que cerca del 40% de los fondos expuestos estaba concentrado en el grupo de direcciones afectadas.
La velocidad importa tanto como el importe: cuando las claves ya están reconstruidas, no existe ventana de reacción. No hay congelación de cuenta, no hay soporte al cliente, no hay reversión. La autocustodia es irreversible en las dos direcciones.
Actualizar el firmware no es suficiente
El punto más peligroso del incidente es también el peor entendido. Como se ha señalado de forma explícita, "simply updating firmware does not secure an already-created vulnerable seed": actualizar el firmware no protege una semilla que ya fue generada bajo el código defectuoso. Un usuario puede tener hoy la última versión instalada y seguir operando sobre claves comprometidas desde 2021. La única mitigación real pasa por generar una semilla nueva y migrar los fondos, no por pulsar el botón de actualizar y respirar tranquilo.
La respuesta de CZ: repartir, no confiar
Changpeng Zhao, fundador de Binance, aprovechó el episodio para insistir en la diversificación del riesgo de custodia. "Even hardware wallets can have bugs. Even old wallets (with long history) can have bugs. How to mitigate? Split your funds in a few wallets maybe? This has a different set of risks. Nothing is 100%. Stay informed. Stay SAFU!", escribió.
El matiz es lo interesante del mensaje: CZ no vende la fragmentación como solución, sino como un intercambio de riesgos. Repartir fondos entre varias billeteras reduce el impacto de un fallo único, pero multiplica los puntos de gestión, las copias de seguridad y las oportunidades de error humano. No hay una configuración perfecta; hay decisiones sobre qué tipo de fallo estás dispuesto a asumir.
El contexto de mercado
El incidente llega con Bitcoin cotizando en torno a los 63.054,53 dólares, con una caída del 0,94%, mientras el segundo activo por capitalización se mueve alrededor de los 1.868,34 dólares, un 0,76% a la baja. El impacto directo sobre el precio ha sido marginal, pero el daño relevante no se mide en velas: se mide en confianza. Durante años, el argumento de la industria fue simple —"not your keys, not your coins"—. Este episodio añade una nota al pie incómoda: tus claves solo valen lo que valga el código que las generó.