1.816 bitcoins, 116 millones de dólares, robados a distancia: los ladrones ni siquiera tocaron tu billetera de hardware.
De qué hablamos hoy:
Lo que vamos a comentar hoy merece el título de «el mayor caso de robo relacionado con billeteras de hardware de 2026». La empresa de seguridad blockchain TRM Labs publicó un informe el 16 de octubre de 2026 en el que reveló un robo masivo de criptomonedas dirigido contra billeteras de hardware Coldcard.
Antecedentes: ¿qué pasó exactamente?
Coldcard es una billetera de hardware para Bitcoin, pensada como una «bóveda fría para expertos» y con buena reputación entre los usuarios veteranos. En teoría, generar las claves privadas sin conexión y no conectarse nunca a internet es la forma más segura de guardar tus criptomonedas, ¿no? Pues aun así hubo un incidente: a partir del 30 de julio de 2026, los atacantes llevaron a cabo cuatro oleadas y robaron 1.816 BTC de más de 5.200 direcciones, por un valor aproximado de 116 millones de dólares (fuente: informe de TRM Labs del 16-10-2026).
Dicho en cristiano: el problema estaba en el firmware 4.0.1, lanzado en marzo de 2021. Un error en la configuración de compilación hizo que, al generar la frase semilla, el dispositivo no utilizara el generador de números aleatorios verdaderamente aleatorios del hardware y recurriera a uno de software muy débil. La clave privada debería haber tenido una entropía aleatoria de 128 bits, pero se quedó en apenas 40.
¿Qué significa tener 40 bits? Una cantidad de combinaciones de 128 bits es tan enorme como para abarcar átomos del universo: es imposible calcularla por fuerza bruta. En cambio, una de 40 bits está al alcance de una máquina decente con algo de tiempo. Así que los hackers ni siquiera necesitan tocar tu monedero: pueden quedarse en casa, calcular la clave privada y llevarse tus monedas directamente.
Análisis central:
- Magnitud: 1.816 BTC, unos 116 millones de dólares (fuente: informe de TRM Labs del 16-10-2026); el tercer mayor robo de criptomonedas de 2026. En lo que va de año se han registrado 276 incidentes de seguridad, con pérdidas totales superiores a 1.200 millones de dólares (fuente: TRM Labs).
- En los primeros 25 minutos del ataque inicial, unos 594 BTC ya se habían transferido a las direcciones de consolidación de los hackers. Esto indica que probablemente ya habían calculado las claves privadas en masa y que el ataque fue solo el remate.
- Blanqueo de dinero: la mayor parte de los fondos robados sigue intacta en las direcciones de los hackers. Solo se ha rastreado el envío de 64,9 BTC a Wasabi y 200 ETH a Tornado Cash (4 de agosto de 2026). TRM señala que las transacciones de las cuatro oleadas de ataques presentan métodos distintos, lo que podría indicar que participaron varios grupos independientes, no necesariamente los mismos.
- Para comparar: hace unos días robaron 4,3 millones de dólares del casino Gamdom (escribí sobre ello anteayer). Frente a estos 116 millones, eso ni siquiera llega a ser calderilla.
La perspectiva de Xiao Kai:
Como veterano del mundo cripto, yo también pensaba que «guardar las monedas en un monedero físico = dormir tranquilo». Ya pagué ese precio por ustedes. Ahora lo veo claro: un monedero físico solo traslada el riesgo de «que se esfume el exchange» a «cada paso que das tú mismo». Si falla algo tan fundamental como la generación de números realmente aleatorios, el monedero no es más que un adorno. Y ojo: actualizar el firmware oficial solo protege las frases semilla que se generen a partir de entonces. Las antiguas hay que descartarlas y transferir las monedas a una dirección nueva para estar realmente a salvo.
Puntos de riesgo:
1. Si generaste la frase semilla de tu Coldcard con el firmware 4.0.1 de marzo de 2021 (o con una versión posterior que no corrigiera el fallo), genera de inmediato una nueva frase semilla con el firmware más reciente y transfiere tus activos (fuente: TRM Labs).
2. Los estafadores siguen aprovechándose de la noticia: el 16 de octubre, SlowMist advirtió de la circulación de páginas de phishing que se hacen pasar por actualizaciones del firmware de Ledger y te engañan para que introduzcas tus 24 palabras de la frase semilla. Recuerda: la frase semilla se escribe a mano en papel. Cualquier sitio web que te pida introducirla es una estafa.
3. Riesgo en la cadena de suministro de los monederos físicos: el distribuidor del sudeste asiático CryptoBilis sufrió un incidente de manipulación de hardware que, según se informa, implicó unos 93 millones de dólares (fuente: alerta de inteligencia sobre amenazas de SlowMist del 16-10-2026 y varios medios). Ledger ya dejó de trabajar con ese distribuidor. Conclusión: compra monederos físicos solo en las páginas oficiales; no te dejes tentar por los de segunda mano baratos.
A quién le sirve / a quién no:
A quién le sirve: quienes tengan un Coldcard antiguo deberían comprobarlo cuanto antes. Y a cualquiera que use un monedero físico: pásale este artículo a ese amigo que «guarda una captura de la frase semilla en el móvil».
A quién no le sirve: a quienes esperen usar este artículo para apostar al alza o a la baja con BTC. Los incidentes de seguridad tienen poca relación con la evolución del precio a corto plazo; no saques conclusiones sin fundamento.
En una frase:
Los 116 millones de dólares nos enseñan que los monederos físicos protegen frente a los hackers, no frente a una mala generación de números aleatorios. El momento de generar la frase semilla es la verdadera línea entre la seguridad y el desastre.
— Xiao Kai, criptoinversor curtido
⚠️ Este artículo es solo para compartir información y no constituye asesoramiento de inversión. El mundo cripto conlleva riesgos; invierte con prudencia.
