El 4 de agosto de 2026, en la madrugada, hora de Beijing, de repente surgió un extraño rastro de ondulaciones en el “agua” del mundillo cripto.
Una dirección de Bitcoin que desde 2013 permanecía como en silencio sepulcral: 18TExP, de repente se activó. En el instante en que se confirmaron en el bloque, 500 BTC (valor aproximado de 31,3 millones de dólares) se transfirieron. Esta wallet estuvo dormida durante 12 años y 8 meses; incluso es más antigua que el nacimiento de Ethereum.
Mientras el mundo especulaba si esto era la reaparición de “Satoshi Nakamoto”, salió a la luz otro trasfondo más escalofriante: la “fortaleza” de las wallets de hardware de Bitcoin—Coldcard—acababa de ser expuesta por tener una vulnerabilidad de seguridad mortal. ¡Se estaban robando BTC por encima de cientos de millones!
El proceso de descubrimiento de esta vulnerabilidad también deja ver el poder y la amenaza de la IA. Después de que el equipo de Coldcard publicara un aviso de seguridad a finales de julio, alguien entregó el código fuente a un modelo de IA, Claude Code, para su revisión. Como resultado, la IA solo tardó 8 minutos en ubicar con precisión la línea de código que provocó la caída de la aleatoriedad.
El renacimiento del leviatán ancestral chocando con una vulnerabilidad mortal de la wallet Coldcard: ¿es pura coincidencia en una “gran migración”, o una cacería precisa dirigida al leviatán ancestral?
Hoy no hablamos de lo “virtual”. Con palabras más sencillas, vamos a desmenuzar el combate tecnológico en la sombra que hay detrás de este “gran terremoto” en el mundo de las criptomonedas.
Vulnerabilidad de Coldcard: se suponía que era una fortaleza “imposible de vulnerar”. ¿Por qué se vino abajo?
En el mundo de los geeks cripto, Coldcard siempre ha sido sinónimo de “seguridad hardcore”. Su principal punto de venta es “generar claves privadas completamente offline”. En teoría, mientras no tengas conexión a internet, ni siquiera los dioses podrían robarte tus monedas.
Pero esta vez, los hackers no fueron a robar tu computadora; simplemente “adivinaron” tu clave privada.
¿Cuál es la esencia de una clave privada? Es una cadena de números aleatorios extremadamente grandes. Generar una clave privada es como barajar un mazo de cartas: cuanto más revuelto esté, mayor aleatoriedad habrá y más difícil será que otros la adivinen.
Esta vez, Coldcard cometió uno de los errores “básicos” más clásicos de un programador: “entropía insuficiente en la generación de números pseudoaleatorios (PRNG)”.
En una actualización de firmware de marzo de 2021, el equipo de Coldcard introdujo un bug. Esto hizo que, al generar claves privadas en algunos modelos (como Mk2 y Mk3), la aleatoriedad quedara en aproximadamente 40 bits de entropía.
Los números te muestran lo absurdo que es: el nivel de seguridad de las claves privadas de Bitcoin es de 128 bits. Esto significa que, si los hackers quisieran forzar por fuerza bruta, tendrían que probar 2^128 veces; una cifra que supera incluso la cantidad de átomos del universo.
Pero cuando el valor de entropía cae a 40 bits, el número de combinaciones posibles se reduce instantáneamente a unos 1 billón (2^40).
¿1 billón suena enorme? Para un ordenador común, sí: es un número astronómico. Pero para grupos de hackers con gran capacidad de cómputo, o equipos con clústeres de tarjetas gráficas profesionales, forzar por fuerza bruta esas 1 billones de combinaciones solo requiere días, o incluso horas.
Equivale a cambiar la contraseña de tu caja fuerte de “8 dígitos” a “4 dígitos”. Ante profesionales, esa caja fuerte prácticamente no sirve.
¿Las wallets frías son realmente seguras? La seguridad de los activos cripto entra en una nueva etapa
En los últimos años, en un contexto de explosiones de exchanges, fugas de operadores y eventos de congelación de retiros cada vez más frecuentes, “no poner tus monedas en un exchange” se ha convertido en un consenso de toda la industria cripto. Cada vez más tenedores de Bitcoin a largo plazo eligen: wallets de hardware, wallets frías y wallets multisig.
Porque se considera la forma más segura de proteger BTC; sin embargo, este incidente de seguridad en la wallet de hardware Coldcard vuelve a recordarle al mercado algo: la wallet fría no es seguridad absoluta. Lo que realmente protege los activos no es “el dispositivo en sí”, sino un sistema de seguridad completo, que va desde la generación aleatoria hasta la gestión de claves privadas y los mecanismos de respaldo.
¿Cuál es la lógica de seguridad de las wallets de hardware? Como en el caso de Coldcard, bajo Coinkite, en esencia es un dispositivo de “generación y firma de claves privadas sin conexión”. Flujo normal: el dispositivo genera números aleatorios → genera 12/24 palabras mnemónicas → las palabras mnemónicas generan la clave privada → la clave privada controla la dirección BTC → el usuario guarda las claves mnemónicas en offline.
En teoría, la fuerza bruta es casi imposible. Incluso si se pierde el dispositivo, mientras las palabras mnemónicas estén seguras, los activos siguen estando protegidos. Por eso, muchos tenedores de Bitcoin a largo plazo eligen wallets de hardware.
Esta vulnerabilidad no consistió en un hackeo al dispositivo Coldcard ni en el control remoto de la wallet por parte de hackers, ni tampoco en una filtración de las palabras mnemónicas del usuario. Más bien, en algunas versiones de Coldcard, al generar palabras mnemónicas no se utilizó una fuente de aleatoriedad lo suficientemente fuerte.
Como decíamos arriba, en todo el proceso el atacante solo necesita calcular las frases mnemónicas dentro de un conjunto finito de posibilidades, generar las claves privadas, encontrar la dirección BTC correspondiente y transferir el dinero. No necesita tocar el dispositivo del usuario en absoluto.
Según datos públicos actuales: en la primera ronda de ataque se robaron aproximadamente 1.196 direcciones por un total de ~1.082 BTC. Luego, con la acumulación de pérdidas en múltiples tandas, la magnitud creció. De acuerdo con el seguimiento de organizaciones como Galaxy Research, a principios de agosto: se confirmó una pérdida de más de 130 millones de dólares, con más de 7.300 wallets afectadas. El grupo atacante al menos cuenta con 15 organizaciones de hackers independientes que están aprovechando esta vulnerabilidad “para pescar”.
El significado más grande del caso Coldcard no es demostrar: “las wallets frías no son seguras”. La advertencia real es: la seguridad de los activos cripto está entrando en la era de pasar de “custodiar claves privadas” a “gestionar riesgos”.
Los 500 BTC que permanecieron 12 años dormidos en 18TExP: ¿por qué generaron atención?
Principalmente, el momento fue demasiado oportuno: primero se expuso el caso de la vulnerabilidad de Coldcard. Después, una gran cantidad de usuarios empezó a revisar la seguridad de sus wallets frías. Entonces surgieron conjeturas: ¿este antiguo wallet de BTC migró sus activos con anticipación por temor a problemas de seguridad?
Pero actualmente no hay evidencia de que ambas cosas estén relacionadas. La razón es muy simple: en 2013 Coldcard todavía no había nacido, por lo que esta dirección no pudo haber sido generada originalmente por Coldcard.
Una explicación más razonable es que los grandes tenedores adoptaron medidas defensivas proactivas debido a la preocupación de seguridad causada por el incidente de la vulnerabilidad de Coldcard: cambiar de wallet, actualizar el plan de seguridad, y replantear la gestión de activos. Por supuesto, también podría tratarse de que los tenedores a largo plazo vendan o hagan operaciones OTC. 500 BTC no es una cifra rara para mineros tempranos o inversores.
No es un caso aislado. Los datos muestran que, tras la exposición de la vulnerabilidad de Coldcard, aumentó de forma explosiva la actividad de los “monedas antiguas” que la red llevaba 7-10 años dormidas. Detrás de escena se está ejecutando una “gran cacería” silenciosa.
Guía de “salvavidas” para todos los tenedores de monedas
Evento de vulnerabilidad de Coldcard: una cosa muy importante que debemos entender es que la protección de activos no tiene seguridad absoluta.
Antes solo preguntábamos “¿en un exchange o en una wallet fría?” Ahora hay que subir el nivel: “¿cómo diseñar un sistema completo de seguridad de activos?”. Porque en la cadena de seguridad, cualquier eslabón—firmware, generación de números aleatorios, cadena de suministro, hábitos de respaldo, entorno de uso—puede romperse.
Para usuarios comunes, una wallet de hardware podría ser suficiente; pero para grandes cantidades de BTC, no se debería depender de una seguridad de punto único. El riesgo del modo de “una sola wallet” es cada vez mayor. Una solución más madura es establecer múltiples capas de protección: primera capa, wallet de hardware; segunda capa, respaldo independiente; tercera capa, wallet multisig; cuarta capa, diversificación de activos.
Por ejemplo, no: 1 wallet, 1000 BTC, 1 frase mnemónica; sino: 10 wallets, 1000 BTC, 10 frases mnemónicas.
Para activos de gran monto, considera multisig. Por ejemplo, 2/3 multisig: tres dispositivos, uno en casa, uno en una caja fuerte bancaria y uno de un familiar de confianza. Se necesitan dos firmas para transferir; así, incluso si se filtra un dispositivo, los activos siguen seguros.
Por último, si tú o un amigo están usando Coldcard (o cualquier otra wallet de hardware), recuerda que “migrar” es más importante que “actualizar”. Solo actualizar el firmware de Coldcard no puede reparar las antiguas claves privadas ya generadas. Debes transferir tus activos inmediatamente a una dirección generada por la versión del firmware que corrige la vulnerabilidad.
Revisa el modelo: los modelos de Coldcard que se ven más afectados son Coldcard Mk2, Mk3, Mk4 y Q. Si usas alguno de estos y la fecha de creación está entre 2021 y 2023, por defecto ya quedaste expuesto al riesgo.
Si tienes una wallet creada alrededor de 2013-2016, incluso si no es Coldcard, este caso de la “migración del leviatán” también sirve como advertencia: los formatos de dirección antiguos y los algoritmos de generación siempre han sido carne fácil para los hackers. Migrar de forma proactiva es hacerse responsable de tu patrimonio.
El caso de Coldcard no va a derribar el valor de las wallets de hardware. Al contrario, lo que demuestra es esto: las wallets de hardware siguen siendo una herramienta importante para proteger Bitcoin, pero ninguna herramienta de seguridad es seguridad absoluta.
Si no estás seguro de si la wallet o la plataforma de trading que usas tiene riesgos, puedes apoyarte en plataformas de consulta de terceros como WikiBit para ayudar con la evaluación. Claro, cualquier herramienta de terceros solo sirve como referencia; el muro final de seguridad siempre estará en tu propio sistema de gestión de claves privadas.
Sin importar si usas un exchange, una wallet de software o una wallet de hardware, el primer principio de la seguridad de los activos cripto es: no poner la totalidad de tus activos en una sola plataforma, un solo dispositivo o un solo sistema de claves. Diversificar el riesgo es más importante que buscar la supuesta “seguridad absoluta”.
Conclusión
El “despertar” de 18TExP podría no ser más que una operación rutinaria de algún veterano ancestral; y la vulnerabilidad de Coldcard quizá solo sea un bache en la evolución tecnológica.
Pero cuando estas dos cosas se suman, nos revelan una realidad fría: en el mundo cripto, la sensación de seguridad es un lujo. Las wallets de hardware no son el punto final, e incluso el código tampoco es absolutamente seguro. La seguridad real proviene del respeto por la lógica subyacente y de una vigilancia que nunca se relaja.
Esa wallet estuvo dormida durante 12 años no porque fuera segura, sino porque nunca la descubrieron. Y cuando se despertó, la crisis quizá apenas estaba empezando.