El miedo ha llegado a la cripto-calle: Coldcard "hackeado" - ¿son seguros Ledger y Trezor?

En el mundo cripto decimos: "no tus claves, no tus monedas". Por eso compramos billeteras de hardware, esos míticos "cofres fríos" y pensamos que podemos dormir tranquilos. Hasta que, de repente, a principios de agosto de 2026, el mercado se sacude con la noticia: Coldcard, ícono de la seguridad, billetera para los "maximalistas" de Bitcoin, ha caído víctima de un "ataque hacker". ¿Qué ha pasado? ¿Están Ledger y Trezor también en peligro? Le pregunté a un experto.
fot. Everett Collection / / Shutterstock

Muchos de ustedes entraron en pánico. Mis teléfonos estaban que ardían. "Janusz, ¿qué hacer? ¿Hackearán mi Ledger? ¿Es seguro Trezor? ¿Cómo vivir?". Tranquilos. Encendemos la antorcha del conocimiento. Para explicarles de manera precisa lo que ha sucedido, y no sembrar FUD, me puse en contacto con Łukasz Mikuła, especialista en ciberseguridad y miembro de nuestro consejo de expertos. Łukasz analizó los detalles técnicos y me respondió en un extenso correo.

Hoy, basándonos en la información de él y en los últimos reportes de los medios, desglosamos el escándalo de Coldcard en sus elementos más básicos.

Estado actual (5 de agosto de 2026): las pérdidas relacionadas con el error de Coldcard podrían alcanzar hasta 130 millones de dólares (más de 2000 BTC) de más de 7700 direcciones. El contador sigue aumentando.

¿Qué ha pasado? Anatomía de un "hackeo" que no fue un hackeo

Empecemos por lo más importante: nadie ha roto la criptografía de Bitcoin. Nadie ha hackeado físicamente los dispositivos. El problema es mucho más insidioso y se refiere al momento en que... configuras una billetera.

Łukasz Mikuła me explicó este fenómeno en su correo en dos frases simples.

• En resumen, el problema era que al crear una billetera en Coldcard, no se generaba una clave privada aleatoria, sino que se podía adivinar qué claves podían generar esas billeteras. Y alguien ejecutó un script y generó billeteras idénticas a las que tenían los clientes de Coldcard...

Eso es todo en pocas palabras. Para describir el evento con más detalle, necesitamos profundizar un poco más. Tu clave privada (remito a la lección 2 de nuestra serie) es en realidad un número enorme. Łukasz recuerda que en notación decimal tiene hasta 78 dígitos, y para comparar, se estima que el número total de átomos en la Tierra es "solo" 10⁵⁰. Son valores astronómicos que garantizan que nadie nunca generará accidentalmente la misma clave que tú.

• La idea es que si solo yo conozco mi gran número secreto, funciona como una contraseña impredecible y supercompleja. Y eso está bien - escribe Łukasz - El problema es de dónde proviene ese número. Cuando configuras una billetera de hardware, el dispositivo utiliza un Generador de Números Aleatorios (RNG) para crear esa clave (representada por 12 o 24 palabras semilla).

Y aquí es donde llega el drama de Coldcard. Según el análisis del equipo de Ingeniería y Seguridad de Bitcoin de Block, el error estaba en el software (firmware), que en ciertas situaciones ignoraba un generador de aleatoriedad de hardware adecuado, cambiándose a un equivalente programático inferior.

• En programación existen componentes listos que aseguran que la selección siempre sea aleatoria... pero en el caso de ColdCard, ese componente estaba desactivado. No está claro por qué - simplemente en un lugar del código del software de la billetera, se asignó el valor "0" al módulo de aleatoriedad, lo que significa su desactivación. Puede que sea el resultado de una falta de comunicación en el equipo de desarrollo, o puede que haya algo más. Y lo más sorprendente de todo es que el dispositivo tenía a bordo un buen generador de aleatoriedad, simplemente nunca lo utilizó - explica Łukasz Mikuła.

¿Cuál es el resultado? Los periodistas de "CryptoSlate" escriben sobre el "colapso de la aleatoriedad". En lugar de una cantidad inimaginable de combinaciones, el número de billeteras posibles se ha reducido tanto que un hacker con un simple script en su computadora podría simplemente revisarlas una por una hasta dar con las que pertenecen a los clientes. No fue un ataque a tu dispositivo en el cajón, sino un ataque al mismo proceso de creación de tu billetera.

¿Quién está detrás de esto y el graffiti hacker

En la cadena de bloques, nada se oculta. Investigadores de Galaxy Research han identificado las direcciones pertenecientes al atacante. Curiosamente, el escándalo toma un giro curioso. Según CoinDesk, la billetera del hacker, que contiene BTC robados, se ha convertido en un tablón de anuncios público. La gente está utilizando la función OP_RETURN (que permite agregar un breve texto a las transacciones de Bitcoin) para enviar pequeñas donaciones al hacker con mensajes.

Algunos suplican: "Robaste, por favor, devuelve al menos un poco".

Otros hacen negociaciones más duras: "Devuelve el 80% de mis 5 BTC".

También hay oportunistas ofreciendo al hacker servicios de lavado de dinero por una comisión del 10%.

Una locura.

¿Eras cliente de Coldcard? ¡Es urgente, actúa!

La empresa Coinkite (fabricante de Coldcard) ha emitido un comunicado urgente. Si has utilizado los modelos Mk2 o Mk3, o los más nuevos Mk4, Q, Mk5 con software antiguo, estás en riesgo. Aquí tienes una instrucción clave. Atención, porque aquí muchos cometen un error:

• La simple actualización del software no es suficiente - advierte Łukasz Mikuła - Hay que hacerlo, pero solo tapa el agujero para el futuro y no cambia la clave que ya puede estar comprometida. Por lo tanto, debes crear una nueva billetera - generar una nueva frase semilla, y no iniciar sesión con la antigua en otra billetera de hardware - y transferir los fondos allí.

En internet circula un excelente resumen de esta situación: ningún almacenamiento seguro solucionará el problema si la contraseña era débil desde el principio. Incluso si guardaste la hoja con esas 12 o 24 palabras en una caja fuerte de titanio bajo tierra, si esas palabras podían ser fácilmente adivinadas por una computadora, el hacker aún podía robar el dinero.

¿Se romperán también Ledger y Trezor? ¿Cómo vivir?

Esa es la pregunta clave. ¿Puede el escándalo de Coldcard ser el preludio de un Armagedón para toda la industria de billeteras de hardware? CoinDesk cita a Vincent Bouzon, un experto de Ledger, que intenta calmar los ánimos: "Es un fallo de una implementación, no un veredicto sobre la custodia propia".

Bouzon añade que las alternativas son peores: las billeteras de software son aún más arriesgadas, y los intercambios son solo recibos de deuda, no verdadera propiedad.

¿Y qué dice nuestro experto, Łukasz Mikuła, a quien le pregunté directamente: "¿son resistentes Ledger y Trezor?" Esto es lo que me respondió:

• Es una pregunta difícil - la curiosidad profesional no me permite decir que algo es "seguro" sin al menos echar un vistazo al código... de hecho, en una de nuestras conversaciones iniciales dije que no hay un lugar ideal para almacenar criptomonedas, y cada uno tiene sus pros y sus contras, y eso es lo que sigo sosteniendo.

Łukasz señala un problema fundamental: no puede realizar una auditoría del código, especialmente donde el código no es abierto, y así funciona Ledger en aspectos clave. Solo puede "suponer optimistamente" que las marcas de renombre aprenderán de esta lección. Sin embargo, la conclusión más importante de Łukasz es inquietante:

• No asumiría ahora que podemos esperar una ola de ataques a billeteras de hardware, sin embargo, los atacantes, especialmente grupos organizados que tienen un gran respaldo tecnológico, también estarán observando este tipo de soluciones, por lo que los fabricantes de billeteras tienen una tarea responsable por delante.

La lección de todo este escándalo es simple y desagradable: en el mundo de las criptomonedas, la frase "no tus claves, no tus monedas" adquiere un nuevo significado. Hoy hay que añadir: no solo importa quién tiene la clave, sino también quién y cómo la produjo para ti.

Todos los registros de mi diario los encontraréis aquí. También os invito a visitar mi Facebook. Podéis enviar correos a la dirección [email protected].