Los whitehats de Coldcard mueven 52.37 BTC a un fideicomiso de recuperación

Los operadores whitehat han movido 52.37 BTC vinculados a la explotación de la billetera Coldcard de julio a una dirección asociada con un fideicomiso de recuperación creado para devolver el Bitcoin rescatado a los propietarios verificados.

Resumen

• Los operadores whitehat movieron 52.37 BTC vinculados a las billeteras de explotación de Coldcard a una dirección de fideicomiso de recuperación.
• La transferencia representó el 2.8% de los fondos de explotación rastreados, según el investigador de Galaxy Digital, Alex Thorn.
• Crypto Recovery Trust dice que los propietarios verificados pueden presentar reclamaciones y proporcionar evidencia para la devolución de activos.
• Coinkite dice que el firmware corregido soluciona la generación de semillas futuras, pero no puede reparar las semillas de billetera ya debilitadas.
• El firmware recomendado actual de Coldcard es la versión 5.6.2 para Mk4/Mk5 y 1.5.2Q para dispositivos Q respectivamente.

El jefe de investigación de Galaxy Digital, Alex Thorn, dijo que el Bitcoin provenía del grupo Wave 2 rastreado y de las huellas etiquetadas AA, AU y AX, con la consolidación registrada en el bloque de Bitcoin 967,948. Thorn dijo que la cantidad representaba el 2.8% de los fondos de explotación que su equipo estaba rastreando.

❄️LOS WHITE HATS DE COLD CARD MUEVEN FONDOS A UN FIDEICOMISO 🏳️

52.37 BTC compuestos por monedas de Wave 2, Huellas AA, AU, AX consolidadas en una nueva dirección con un OP_RETURN "claim:cryptorecoverytrust dot com" en el bloque 967,948

estos fondos de white hat representan el 2.8% de la explotación de coldcard pic.twitter.com/c5eYeQMxHQ --- Alex Thorn (@intangiblecoins) 21 de septiembre de 2026

La transacción de destino llevaba un mensaje OP_RETURN que apuntaba a "claim:cryptorecoverytrust dot com", según Thorn. Galaxy Research identificó por separado la actividad en el mismo bloque que involucraba 20 entradas y 480 salidas y publicó el ID de transacción 38b524ccb8ca260ec705ab980982144857c477658fa39591870ee8cb09bcea47.

Los movimientos de recuperación de Coldcard colocan Bitcoin rescatado en un fideicomiso

La transferencia coloca parte del Bitcoin recuperado bajo el Crypto Recovery Trust, un fideicomiso estatutario de Wyoming establecido para mantener activos digitales recuperados de billeteras comprometidas mientras se verifican las reclamaciones de propiedad.

Crypto Recovery Trust declara que su función es reunir los activos recuperados con sus legítimos propietarios a través de un proceso formal de reclamaciones. Su sitio web identifica a la entidad legal como el Fideicomiso Estatutario de Activos Digitales Recuperados de Wyoming y nombra a Agentic Trace LLC como fideicomisario.

El Fideicomiso de Recuperación de Activos Digitales, o DART, ya había divulgado trabajos de recuperación relacionados con el incidente de Coldcard antes de la última consolidación. DART informó que él y los investigadores whitehat independientes habían asegurado poco más de 50 BTC de direcciones vulnerables hasta el 17 de agosto, moviendo los fondos antes de que los actores maliciosos pudieran alcanzarlos.

DART dijo que el Bitcoin recuperado se colocó en el fideicomiso en lugar de en billeteras controladas por investigadores o cuentas operativas. Su proceso incluye análisis de blockchain, verificación de prueba de propiedad y revisión de sanciones antes de que los activos puedan ser devueltos. Los fondos que involucren reclamaciones en competencia, restricciones de sanciones o procedimientos penales pueden seguir procedimientos legales separados.

El movimiento del 21 de septiembre proporciona una nueva vista en cadena de esos esfuerzos de recuperación. Thorn vinculó los 52.37 BTC específicamente a grupos de explotación previamente identificados, mientras los describía como fondos controlados por whitehat. Su cálculo del 2.8% se refiere al total de explotación rastreado por Galaxy y no debe interpretarse como una cifra oficial de pérdida de Coinkite.

La explotación de Coldcard comenzó con un defecto en la generación de semillas

El incidente de Coldcard comenzó el 30 de julio después de que los atacantes explotaran semillas de billetera de Bitcoin debilitadas creadas por el firmware afectado. El registro actual de incidentes de Coinkite explica que un defecto de integración de firmware hizo que la ruta de generación de semillas se resolviera en el generador de pseudorandom de software Yasmarang de MicroPython en lugar del generador de números aleatorios de hardware previsto.

Los atacantes no necesitaban controlar de forma remota las carteras de hardware. Coinkite afirma que regeneraron claves privadas vulnerables fuera de línea después de que la reducción de la aleatoriedad facilitara la búsqueda de frases semilla afectadas. La empresa describe el incidente como un fallo en la generación de semillas del firmware, no como una toma de control remoto de los dispositivos Coldcard.

Investigaciones técnicas independientes han rastreado la debilidad hasta cambios en el firmware que datan de 2021. Una investigación pública estimó que los dispositivos Mk3 más antiguos podrían producir aproximadamente 40 bits de entropía efectiva en condiciones afectadas, mientras que los modelos Mk4, Mk5 y Q retuvieron aproximadamente 72 bits en lugar del nivel de seguridad previsto.

Las primeras pérdidas fueron menores que los totales asociados más tarde con múltiples oleadas de ataques. Como informó anteriormente crypto.news, el error de construcción del firmware de Coldcard y las pérdidas de la primera ola de Bitcoin involucraron aproximadamente 594 BTC extraídos de alrededor de 500 carteras en aproximadamente 25 minutos.

El seguimiento posterior identificó carteras adicionales y oleadas de ataque. Una investigación separada de crypto.news sobre el defecto de entropía de Coldcard de cinco años y cuatro oleadas de ataque estimó que 1,816 BTC se habían movido de más de 5,200 direcciones a medida que los analistas ampliaban el alcance identificado.

Por lo tanto, las estimaciones de pérdidas varían dependiendo de qué oleadas de ataque, grupos y transacciones de recuperación se incluyan. La página de estado de seguridad actual de Coinkite no publica un total definitivo único para todos los Bitcoin robados.

Coinkite dice que las actualizaciones de firmware no pueden reparar semillas antiguas

Coinkite lanzó correcciones de emergencia el 31 de julio para las líneas de firmware afectadas. El archivo de descargas de la empresa muestra las versiones Mk4/Mk5 5.6.0 y Q 1.5.0Q como los primeros lanzamientos estándar que corrigen la generación futura de semillas, mientras que parches separados cubrieron dispositivos Mk2/Mk3 más antiguos y firmware Edge.

El trabajo de seguridad continuó después del parche inicial. Las versiones estándar recomendadas actuales son Mk4/Mk5 5.6.2 y Q 1.5.2Q, ambas emitidas el 3 de septiembre. Los usuarios de Edge son dirigidos a 6.6.1X para Mk4/Mk5 y 6.6.1QX para Q.

Coinkite enfatiza que instalar firmware corregido no cambia una semilla existente. Una cartera generada bajo firmware vulnerable puede seguir expuesta incluso después de que el dispositivo reciba la última actualización porque la debilidad existe en la semilla misma.

Se instruye a los usuarios con semillas afectadas a generar una semilla de reemplazo corregida y migrar fondos, a menos que cumplan con la excepción de dados independientes que la empresa ha declarado. Coinkite dice que al menos 50 lanzamientos de dados de seis caras justos, independientes y grabados en privado añadidos bajo el flujo de trabajo relevante proporcionan al menos 128 bits de entropía adicional, aunque se dice a los usuarios que no están seguros sobre las condiciones que deben migrar.

Las víctimas pueden presentar reclamaciones de propiedad al fideicomiso de recuperación

El proceso de recuperación ahora se centra en verificar quién controlaba las direcciones de las que los whitehats barrieron Bitcoin. Crypto Recovery Trust permite a los reclamantes buscar información de recuperación, rastrear una reclamación presentada y proporcionar evidencia adicional de apoyo a través de su sitio web.

DART dice que el fideicomiso fue estructurado para segregar el Bitcoin recuperado de los fondos de investigación y operación mientras se establece la propiedad. Los abogados de la práctica de seguridad nacional de Steptoe asesoran al fideicomisario, según la divulgación de DART, porque algunos activos devueltos pueden requerir sanciones, revisión por parte de las fuerzas del orden o revisión de propiedad en competencia.

Los investigadores whitehat involucrados en el trabajo de recuperación anterior de DART no solicitaron una recompensa, según la organización. DART dijo que otros activos vulnerables y posibles pistas de recuperación permanecieron bajo revisión después de su recuento de agosto, dejando abierta la posibilidad de que más fondos vinculados a Coldcard pudieran ingresar al proceso de reclamaciones.

Para las carteras que aún dependen de semillas creadas bajo el firmware afectado de Coldcard, las instrucciones actuales de Coinkite permanecen sin cambios: instalar y verificar un lanzamiento de firmware corregido, crear una nueva semilla bajo el proceso corregido y mover fondos lejos de la semilla vulnerable.