1816 BTC, 5200 direcciones, 1.16 mil millones de dólares—¿Cómo una vulnerabilidad en la wallet de hardware Coldcard se convirtió en el detonante de una “crisis de confianza” en el mundo cripto?
El 4 de agosto, Galaxy Research confirmó que el robo en cadena provocado por la vulnerabilidad de Coldcard ya va por su cuarta ola. En cada oleada se desviaron 449 BTC, 709 direcciones; en total, se “arruinaron” 1816 BTC y más de 5200 direcciones, y 1.16 mil millones de dólares se esfumaron.
Todo esto empezó con un fragmento de código.
En marzo de 2021, Coinkite lanzó una actualización de firmware. Con un simple error de configuración, el dispositivo al generar la frase mnemónica se saltó los números aleatorios del hardware y volvió a un esquema de software basado en el número de serie y el reloj. La entropía original de 128 bits, en el Mk3, cayó a 40 bits: 40 mil millones de combinaciones. ¿Te imaginas el concepto? La dificultad de un ataque de fuerza bruta, de “ni el calor del universo podría completarlo”, pasó instantáneamente a “con correr un rato con GPU ya hay resultado”. El candado es de acero, pero el cilindro de la cerradura está hecho de barro.
Lo más increíble viene después: esta “bomba” escondida en el repositorio de código abierto estuvo oculta durante cinco años completos, hasta que alguien la ejecutó una vez con IA.
Claude Code de Anthropic, 8 minutos.
Y antes de eso, los ingenieros de Coinkite ya habían hecho múltiples revisiones manuales de forma repetida, e incluso habían usado IA para auditar… pero ninguna lo detectó.
Boltz detuvo el servicio directamente. Plataformas de intercambio no custodiales: en teoría, no deberían mantener fondos, así que deberían ser más seguras; pero terminaron derribadas por ataques continuos asistidos por IA. No fue una o dos veces: fue un patrón sostenido. La velocidad a la que los atacantes iteran es tan alta que “pausar operaciones” de la plataforma se convierte en la opción más racional.
Cuando incluso el método de almacenamiento más seguro presenta una vulnerabilidad a nivel de sistema, surge una pregunta existencial: ¿dónde poner los activos? ¿En los exchanges? No es confiable. ¿En una wallet de hardware? Tampoco es confiable. ¿En protocolos descentralizados? La IA ya los está destruyendo en cuestión de meses. La confianza, cuando cae, no se puede levantar. Los 1816 BTC que fueron extraídos no solo destruyeron la reputación de un producto: arrancaron la capa de seguridad —la frágil sensación— en la que se sostiene todo el sector.
#Coldcard事件损失超1亿美元
El 4 de agosto, Galaxy Research confirmó que el robo en cadena provocado por la vulnerabilidad de Coldcard ya va por su cuarta ola. En cada oleada se desviaron 449 BTC, 709 direcciones; en total, se “arruinaron” 1816 BTC y más de 5200 direcciones, y 1.16 mil millones de dólares se esfumaron.
Todo esto empezó con un fragmento de código.
En marzo de 2021, Coinkite lanzó una actualización de firmware. Con un simple error de configuración, el dispositivo al generar la frase mnemónica se saltó los números aleatorios del hardware y volvió a un esquema de software basado en el número de serie y el reloj. La entropía original de 128 bits, en el Mk3, cayó a 40 bits: 40 mil millones de combinaciones. ¿Te imaginas el concepto? La dificultad de un ataque de fuerza bruta, de “ni el calor del universo podría completarlo”, pasó instantáneamente a “con correr un rato con GPU ya hay resultado”. El candado es de acero, pero el cilindro de la cerradura está hecho de barro.
Lo más increíble viene después: esta “bomba” escondida en el repositorio de código abierto estuvo oculta durante cinco años completos, hasta que alguien la ejecutó una vez con IA.
Claude Code de Anthropic, 8 minutos.
Y antes de eso, los ingenieros de Coinkite ya habían hecho múltiples revisiones manuales de forma repetida, e incluso habían usado IA para auditar… pero ninguna lo detectó.
Boltz detuvo el servicio directamente. Plataformas de intercambio no custodiales: en teoría, no deberían mantener fondos, así que deberían ser más seguras; pero terminaron derribadas por ataques continuos asistidos por IA. No fue una o dos veces: fue un patrón sostenido. La velocidad a la que los atacantes iteran es tan alta que “pausar operaciones” de la plataforma se convierte en la opción más racional.
Cuando incluso el método de almacenamiento más seguro presenta una vulnerabilidad a nivel de sistema, surge una pregunta existencial: ¿dónde poner los activos? ¿En los exchanges? No es confiable. ¿En una wallet de hardware? Tampoco es confiable. ¿En protocolos descentralizados? La IA ya los está destruyendo en cuestión de meses. La confianza, cuando cae, no se puede levantar. Los 1816 BTC que fueron extraídos no solo destruyeron la reputación de un producto: arrancaron la capa de seguridad —la frágil sensación— en la que se sostiene todo el sector.
#Coldcard事件损失超1亿美元