Las pérdidas por el caso Coldcard ya superan los u$s130 millones, convirtiéndose en el mayor hackeo de una billetera de hardware.
El ataque, originado en un error de firmware de 2021, permitió a los delincuentes reconstruir semillas débiles y vaciar más de 5.200 direcciones de Bitcoin en apenas días.
La vulnerabilidad se remonta a marzo de 2021, cuando el fabricante canadiense Coinkite lanzó versiones defectuosas del firmware de la Coldcard Mk3.
Un error en la configuración deshabilitó el generador de números aleatorios por hardware y lo reemplazó por un algoritmo pseudoaleatorio de baja entropía.
Este accionar redujo la seguridad efectiva de las claves de 128 bits a apenas 40 bits, lo que permitió a los atacantes reconstruir semillas de manera offline sin necesidad de acceso físico al dispositivo.
El hackeo comenzó el 30 de julio de 2026, cuando en apenas 25 minutos se drenaron 594 BTC (u$s38 millones) de unas 500 direcciones.
En los siguientes días se sucedieron nuevas oleadas que elevaron el total robado a 1.816 BTC, equivalentes a u$s116 millones, según TRM Labs.
En tanto, Galaxy Research detalló que el 61% del botín se perdió en la primera ola, con transacciones que vaciaron más de 1.100 direcciones en apenas 41 minutos.
La mayoría de las monedas robadas provenían de wallets que llevaban años inactivas: el 88% de los BTC drenados no se habían movido en más de un año, con una antigüedad mediana de 3,5 años.
Esto explica la magnitud del golpe, ya que los saldos dormidos dieron tiempo a los hackers para actuar sin levantar sospechas.
Hasta ahora, solo 192 personas reportaron pérdidas de manera oficial, sumando 714 BTC, aunque se estima que las víctimas reales son miles.
La pérdida mediana por damnificado ronda 1 BTC, mientras que algunos inversores individuales llegaron a perder hasta 58 BTC.
El ataque dejó expuesta la fragilidad de la confianza en las hardware wallets, consideradas hasta ahora la opción más segura para la autocustodia de criptomonedas.
El caso Coldcard fue catalogado como el mayor exploit de monederos físicos de 2026 y esparció la polémica en torno a la seguridad en la autocustodia.
Coinkite recomendó a los usuarios afectados migrar sus fondos a nuevas semillas generadas en versiones corregidas del firmware, ya que actualizar el software no soluciona el problema en wallets previamente creadas.