Coldcard: el bug de 89 millones en su wallet provoca el mayor movimiento de Bitcoin desde FTX

La vulnerabilidad de Coldcard pasó de ser un incidente de seguridad puntual a distorsionar por completo las señales del mercado de Bitcoin. El 30 de julio, el fabricante de billeteras físicas Coinkite alertó a sus usuarios de que las wallets creadas con firmware afectado de Coldcard podían ser vaciadas, porque un error de software generaba frases semilla con mucha menos aleatoriedad de la prevista. El fallo derivó en un desplazamiento de fondos que Galaxy Research describió como el mayor movimiento de monedas antiguas desde el colapso de FTX.

El problema es técnico pero de consecuencias directas para el dinero de la gente. La «frase semilla» es la secuencia de palabras de la que se derivan todas las claves privadas de una billetera. Si esa semilla se genera con poca entropía —es decir, con menos combinaciones posibles de las que debería—, un atacante puede reconstruirla por fuerza bruta y quedarse con los fondos. Eso es exactamente lo que ocurrió con determinadas versiones del firmware de Coldcard.

Cómo el bug de Coldcard afectó las señales del mercado

Más allá del dinero robado, la vulnerabilidad de Coldcard ensució los indicadores que analistas e inversores usan a diario. Cuando se mueven grandes cantidades de Bitcoin que llevaban años quietas, las métricas on-chain suelen interpretarlo como que «manos fuertes» o tenedores antiguos están vendiendo, una señal habitualmente bajista. En este caso, buena parte de ese movimiento no respondió a decisiones de inversión, sino a operaciones de rescate y a los propios robos vinculados al fallo.

Publicidad

El resultado es un ruido difícil de filtrar. Indicadores como la antigüedad de las monedas gastadas o los flujos hacia exchanges quedaron contaminados por un evento excepcional, lo que puede llevar a lecturas equivocadas sobre la salud real del mercado. Galaxy Research cuantificó en unos 89 millones de dólares el volumen asociado al episodio, una cifra suficiente para alterar los promedios de varias de esas métricas.

El golpe también se sintió en el ánimo de los inversores. El sentimiento de Bitcoin cayó a mínimos históricos tras conocerse el alcance del exploit, con estimaciones que sitúan las pérdidas directas en torno a los 70 millones de dólares para los usuarios afectados.

Qué hicieron Coinkite y el resto de la industria

Coinkite pidió a los usuarios de firmware afectado que transfirieran sus fondos a wallets generadas con versiones corregidas y que no reutilizaran las semillas comprometidas. La recomendación es clara: cualquier billetera cuya semilla haya sido creada bajo las condiciones del fallo debe considerarse insegura, aunque todavía no haya sido vaciada.

El episodio reabrió el debate sobre la confianza en el hardware que promete custodiar Bitcoin sin conexión. Competidores salieron rápido a marcar distancia: Trezor aclaró que sus usuarios no están afectados por el problema de Coldcard, en un intento de contener el nerviosismo que suele contagiarse a todo el sector cuando aparece un fallo de este tipo.

La reconstrucción de las semillas y el vaciado de las billeteras quedaron documentados en detalle a medida que investigadores independientes revisaban las direcciones implicadas. Según el análisis técnico difundido, el patrón permitió reconstruir semillas y vaciar miles de billeteras, lo que explica por qué el volumen movido fue tan alto en tan poco tiempo.

El eslabón débil: defensas asistidas por IA

El caso también expuso una debilidad recurrente en las defensas cibernéticas apoyadas en inteligencia artificial. Las herramientas automatizadas de detección tienden a interpretar como «actividad normal» los movimientos que encajan en patrones estadísticos conocidos, y un fallo de entropía como el de Coldcard produce transacciones que, vistas de forma aislada, no disparan alarmas evidentes. Eso da margen a un atacante para operar sin levantar sospechas inmediatas.

Para el usuario final, la lección es incómoda pero conocida: la seguridad de una billetera de autocustodia depende de la calidad de la generación de sus claves, un proceso invisible que rara vez se puede auditar a simple vista. Un dispositivo físico reduce la superficie de ataque frente a las billeteras conectadas, pero no elimina el riesgo si el software que genera la semilla falla en su base.

Los incidentes de este tipo no son nuevos en el sector. Hace apenas semanas, los validadores de la red de XRP frenaron una vulnerabilidad en XRPL que permitía vaciar cuentas de forma silenciosa, otro recordatorio de que las capas de infraestructura sobre las que se apoya el mercado siguen siendo puntos sensibles.

Mientras se limpian las métricas contaminadas y los usuarios migran sus fondos, el episodio de Coldcard deja una advertencia sobre la fragilidad de las señales on-chain frente a eventos extraordinarios. Los datos que parecen contar una historia de mercado a veces solo cuentan la historia de un error de código.