Robo a usuarios de Coldcard supera los 100 millones en Bitcoin, según Galaxy

El robo a usuarios de Coldcard alcanzó más de 100 millones de dólares en Bitcoin repartidos en tres oleadas de ataque confirmadas, según un análisis publicado por Galaxy Research. Los investigadores advirtieron además que examinan una posible cuarta oleada que elevaría las pérdidas hasta unos 130 millones de dólares.

El dato clave, sin embargo, matiza la magnitud del golpe: cerca del 90% del Bitcoin sustraído permanece inmóvil en las direcciones de los atacantes. Ese detalle abre una ventana de rastreo para investigadores y firmas de análisis on-chain, que pueden seguir el movimiento de los fondos si en algún momento los ladrones intentan moverlos hacia exchanges o mezcladores.

Qué se sabe del robo a usuarios de Coldcard

Coldcard es una billetera fría (hardware wallet) muy popular entre los tenedores de Bitcoin que priorizan la autocustodia. Su público suele ser técnico y celoso de la seguridad, lo que hace que un incidente de esta escala llame especialmente la atención dentro de la comunidad.

Publicidad

De acuerdo con lo que Galaxy Research expuso en su reporte, los ataques se organizaron en al menos tres fases distintas, cada una con un conjunto de víctimas afectadas. La cifra confirmada superó los 100 millones de dólares, y la investigación seguía abierta para determinar si un cuarto episodio debe sumarse al recuento.

Que la mayor parte del botín no se haya movido sugiere que los responsables actúan con cautela, conscientes de que un desplazamiento prematuro de fondos tan cuantiosos dispararía alertas en toda la infraestructura de vigilancia de la cadena. Bitcoin es un registro público: cada transacción queda visible, y mover 100 millones de dólares sin ser detectado es prácticamente imposible.

Autocustodia bajo presión

El caso llega en un momento en que la seguridad de las billeteras y los protocolos vuelve a estar en el centro del debate. En las últimas semanas se han multiplicado los reportes de ataques cada vez más sofisticados, algunos incluso asistidos por inteligencia artificial. Boltz, por ejemplo, llegó a suspender sus servicios de swap ante ataques asistidos por IA, una señal de hasta qué punto el vector de amenaza se está profesionalizando.

La promesa de la autocustodia —»tus llaves, tu Bitcoin»— sigue siendo el pilar de la filosofía de muchos usuarios avanzados. Pero también traslada toda la responsabilidad al individuo: no hay un servicio de atención al cliente ni un banco que revierta una operación fraudulenta. Cuando la seguridad falla, la recuperación depende casi por completo del rastreo de los fondos y de la eventual cooperación de plataformas centralizadas.

Ese rastreo no es teórico. Recientemente, un exagente del FBI fue acusado de robar cripto de billeteras bajo investigación, un recordatorio de que el seguimiento de activos robados puede terminar en procesos judiciales concretos cuando los responsables cometen errores.

Por qué importa el 90% inmóvil

El porcentaje de fondos que permanece quieto es la variable que puede definir el desenlace del caso. Si los atacantes mantienen el Bitcoin en frío durante meses o años, complican su propia capacidad de convertirlo en dinero utilizable. En cambio, cualquier intento de blanqueo a través de mezcladores o de exchanges con verificación de identidad deja huellas que las firmas forenses saben interpretar.

Para los usuarios afectados, la esperanza de recuperación no es nula precisamente por ese motivo. La historia reciente del sector muestra casos en los que fondos robados fueron congelados o devueltos años después, cuando los responsables intentaron moverlos y quedaron expuestos.

El episodio también reabre preguntas incómodas sobre la resistencia de los dispositivos de hardware frente a técnicas de ingeniería social, suministros comprometidos o vulnerabilidades específicas. Galaxy Research no detalló públicamente el vector exacto empleado en cada oleada, pero la magnitud del daño confirma que ni siquiera el segmento más cuidadoso de la base de usuarios de Bitcoin está exento de riesgo.

Un ecosistema en alerta

La seguridad de Bitcoin ha generado titulares en varios frentes durante los últimos meses, desde debates sobre bugs sin parchear y la amenaza cuántica hasta el uso de inteligencia artificial para detectar fallos. El robo vinculado a Coldcard se inscribe en esa conversación más amplia sobre qué tan robustas son realmente las herramientas que custodian miles de millones de dólares.

Mientras la investigación avanza para confirmar o descartar la cuarta oleada, la comunidad seguirá vigilando de cerca las direcciones señaladas. El movimiento de un solo bloque significativo de esos fondos podría marcar el próximo capítulo de un caso que, por ahora, permanece en gran parte congelado en la cadena.