El hackeo de Coldcard acelera una revisión de la autocustodia de bitcoin

Un ataque contra monederos hardware Coldcard llevó al drenaje de bitcoin desde miles de direcciones tras explotar una vulnerabilidad de firmware que, según CoinDesk, llevaba cinco años sin detectarse. El fallo se originó en una actualización de marzo de 2021 para dispositivos fabricados por Coinkite y dejó claves privadas con menos seguridad de la esperada. Tras tres oleadas de ataque, casi 1.600 BTC, valorados en más de 100 millones de dólares, fueron retirados de alrededor de 7.300 direcciones, de acuerdo con Galaxy Research.

El caso importa porque toca uno de los pilares culturales y técnicos de bitcoin: la autocustodia. Para muchos usuarios, mantener las propias claves es una forma de reducir dependencia de intermediarios, pero el incidente mostró que un solo dispositivo comprometido puede convertirse en un punto crítico de fallo. CoinDesk señaló que el episodio abrió un debate dentro de la industria sobre si algunos inversores deberían recurrir a alternativas como fondos cotizados, en lugar de mantener bitcoin directamente.

Cory Klippsten, CEO de Swan Bitcoin, dijo que la respuesta de su firma fue pausar retiros para clientes en riesgo, enviar advertencias dentro de la aplicación y ofrecer soporte de migración incluso a personas que no eran clientes de Swan. Según Klippsten, el equipo contactó a usuarios y ayudó a mover fondos hacia configuraciones consideradas más seguras.

Una semana después del ataque, cerca del 90% de las monedas robadas seguían sin moverse en cadena, según el reporte. Las direcciones confirmadas de los atacantes fueron compartidas con autoridades federales de Estados Unidos, Coinkite parcheó todas las líneas de dispositivos afectadas y un equipo voluntario financiado por OpenSats revisó más de 150 repositorios de código abierto sin hallar evidencia de que el problema se extendiera más allá de Coldcard.

Klippsten sostuvo que los usuarios no están abandonando la autocustodia, sino revisando cómo hacerla más resistente. En particular, mencionó el interés por productos de bóveda con multifirma colaborativa, donde ningún dispositivo individual puede poner en riesgo todos los fondos. Su lectura es que el daño fue serio para quienes perdieron bitcoin, pero que la respuesta puede acelerar mejores prácticas de seguridad en el ecosistema.