Vulnerabilidad en COLDCARD permitió reconstruir semillas y vaciar miles de billeteras de Bitcoin

Una vulnerabilidad en el proceso utilizado por determinadas billeteras de hardware COLDCARD para generar sus frases semilla habría permitido que atacantes reconstruyeran claves privadas sin acceder físicamente a los dispositivos. El incidente provocó varias oleadas de retiros no autorizados y obligó al fabricante, Coinkite, a publicar actualizaciones de emergencia para diferentes modelos.

Hasta la actualización disponible el 1 de agosto de 2026, investigadores vinculaban el ataque con el robo de aproximadamente 1.367 BTC desde 4.585 direcciones, por un valor cercano a los 89 millones de dólares. Las cifras podrían continuar cambiando a medida que se identifiquen nuevas transacciones relacionadas con el incidente.

El problema estaba en la generación de las semillas

Cuando una billetera de Bitcoin crea una frase semilla, necesita utilizar una fuente de aleatoriedad suficientemente impredecible. De esa información se derivan posteriormente las claves privadas y las direcciones que controlan los fondos.

Publicidad

El firmware de COLDCARD debía obtener esa aleatoriedad mediante el generador de números aleatorios integrado en el hardware. Sin embargo, una integración introducida en 2021 provocó que determinadas funciones utilizaran un generador pseudoaleatorio de software de MicroPython.

El error ocurrió porque una comprobación del código verificaba si una configuración estaba definida, pero no comprobaba correctamente si su valor estaba activado. Como consecuencia, el firmware terminó utilizando un generador basado en información del dispositivo y registros de tiempo, en lugar de recurrir únicamente a una fuente criptográfica de alta calidad.

Aunque las semillas resultantes podían parecer aleatorias, el conjunto de combinaciones posibles era considerablemente menor de lo esperado. Coinkite estima que las unidades Mk2 y Mk3 afectadas podían tener alrededor de 40 bits de entropía efectiva, mientras que en los modelos Mk4, Mk5 y Q la estimación preliminar se sitúa cerca de los 72 bits, frente al objetivo habitual de 128 bits para una semilla BIP-39 de doce palabras.

Los atacantes no necesitaban tocar las billeteras

La vulnerabilidad no requería conectar el dispositivo a Internet, instalar malware en la computadora de la víctima ni tener acceso a la copia física de la frase semilla.

Un atacante podía generar posibles semillas en sus propios equipos, derivar las direcciones correspondientes y compararlas con la información pública disponible en la red de Bitcoin. Cuando una de esas direcciones coincidía con una billetera que contenía fondos, podía obtener las claves necesarias para transferirlos.

Este proceso podía realizarse completamente fuera de línea. Por esta razón, incluso una COLDCARD apagada y guardada en una caja de seguridad podía estar expuesta si su semilla había sido generada mediante una versión vulnerable del firmware.

Varias oleadas de retiros fueron detectadas

Los primeros análisis identificaron una serie de transacciones que retiraron más de 1.080 BTC desde alrededor de 1.200 direcciones en un periodo de 41 minutos. Posteriormente aparecieron nuevas oleadas que incluyeron billeteras con saldos más pequeños y estructuras de transacción diferentes.

La tercera oleada elevó el total observado a aproximadamente 1.367 BTC y 4.585 direcciones. Los investigadores consideran que cada grupo de transacciones fue ejecutado de forma automatizada, aunque la información pública de la blockchain no permite confirmar si todas las oleadas fueron realizadas por una misma persona o por diferentes actores que explotaron la misma falla.

Modelos y versiones afectadas

De acuerdo con la advertencia actualizada de Coinkite, deben considerarse potencialmente vulnerables las semillas generadas en:

• COLDCARD Mk2 o Mk3 con firmware desde la versión 4.0.1 hasta la 4.1.9.
• COLDCARD Mk4 o Mk5 anteriores a la versión estándar 5.6.0 o a la versión Edge 6.6.0X.
• COLDCARD Q anterior a la versión estándar 1.5.0Q o a la versión Edge 6.6.0QX.

Los productos TAPSIGNER, OPENDIME y SATSCARD no están afectados porque utilizan bases de código diferentes.

Actualizar el firmware no repara una semilla existente

Coinkite publicó firmware corregido para todas las líneas afectadas. Sin embargo, instalar la actualización solamente corrige la generación de nuevas semillas. Una frase creada anteriormente con el firmware vulnerable continúa teniendo el mismo nivel reducido de aleatoriedad.

La empresa recomienda actualizar el dispositivo, generar una semilla completamente nueva, verificar la copia de seguridad y una dirección de recepción, realizar primero una transacción de prueba y posteriormente trasladar el saldo restante. La antigua copia debe conservarse hasta comprobar que toda la migración se completó correctamente.

Coinkite también señaló que las semillas creadas añadiendo al menos 50 lanzamientos privados e independientes de un dado justo no se consideran expuestas por este problema específico. Una passphrase BIP-39 fuerte y única añade una barrera independiente, aunque el fabricante continúa recomendando reemplazar la semilla afectada.

El posible uso de inteligencia artificial no está confirmado

Coinkite planteó como hipótesis que alguna persona pudo utilizar herramientas de inteligencia artificial para revisar versiones anteriores del código abierto y descubrir la vulnerabilidad. Sin embargo, no existen pruebas públicas que permitan afirmar que la IA fue utilizada para identificar el error o ejecutar el ataque.

Lo confirmado técnicamente es que la reducción de entropía hizo posible enumerar y probar semillas candidatas mediante capacidad computacional. Por tanto, la participación de herramientas de inteligencia artificial debe presentarse como una posibilidad mencionada por el fabricante y no como un hecho demostrado.

El incidente demuestra que mantener una hardware wallet desconectada protege frente a numerosos ataques, pero no puede compensar una debilidad introducida durante la creación original de las claves. En este caso, el problema no fue que los atacantes extrajeran una semilla del dispositivo, sino que pudieron reconstruirla debido a una fuente de aleatoriedad insuficiente.