Lo que durante años se consideró uno de los sistemas más seguros para custodiar criptomonedas ha quedado en entredicho. Un grupo de ciberdelincuentes aprovechó una vulnerabilidad en los monederos físicos (cold wallets) de Coldcard para sustraer más de 60 millones de euros en bitcoin en apenas 41 minutos, en uno de los mayores robos registrados contra este tipo de dispositivos.

La investigación apunta a un fallo en el sistema de generación de las frases semilla, la clave maestra que permite recuperar el acceso a una cartera. Esa vulnerabilidad, presente desde 2021 en determinadas versiones del firmware, hizo posible que los atacantes reconstruyeran las claves privadas y vaciaran miles de monederos sin necesidad de acceder físicamente a ellos ni instalar malware en los equipos de las víctimas.

Según los análisis de Galaxy Research, el primer ataque afectó a cerca de 1.200 direcciones de bitcoin, aunque posteriores oleadas elevaron el balance hasta más de 4.500 carteras comprometidas y unas pérdidas próximas a los 89 millones de dólares. La empresa Coinkite, fabricante de Coldcard, ya ha distribuido una actualización de seguridad y recomienda a los usuarios generar nuevas frases semilla y trasladar inmediatamente sus fondos a monederos creados con el software corregido.

El incidente demuestra que incluso los sistemas de almacenamiento offline, considerados la máxima protección frente a los ciberataques, no son inmunes cuando el origen del problema está en el propio diseño del software. Los expertos consideran este episodio uno de los golpes más sofisticados sufridos por el ecosistema de las criptomonedas y advierten de que la autocustodia exige no solo proteger las claves, sino también garantizar que el hardware utilizado no presente vulnerabilidades críticas.