La vulnerabilidad de Coldcard se propaga: roban más de 1.000 BTC
Hermanos, les cuento algo.
Si han usado Coldcard, ahora mismo—en seguida, antes de seguir bajando—primero comprueben la versión de su firmware.
Del 30 de julio, a la 1:10 a la 1:51 de la madrugada. 41 minutos.
1196 direcciones quedaron vacías.
1082,65 BTC, unos 70 millones de dólares, desaparecieron de esas carteras de Coldcard que estaban guardadas en cajas fuertes, desconectadas de internet, y sin moverse durante meses e incluso años, como por arte de magia.
El dispositivo no fue tocado en todo el tiempo.
El atacante ni siquiera tocó su cartera. Su cartera tal vez esté soldada a una caja fuerte, tal vez enterrada en el sótano—no sirve de nada.
Esto podría ser lo más irónico de 2026.
¿Cuál es la mayor baza de una cartera de hardware?—“La clave privada nunca toca la red, aislamiento físico, seguridad absoluta”.
¿Y qué pasó? La vulnerabilidad está en una línea de código del 3 de 2021.
El firmware de Coldcard debería llamar al generador de números aleatorios del hardware para crear las frases semilla. Pero una verificación de compilación solo verificó que “la configuración existe”, no que “la configuración esté habilitada”—y entonces el sistema vuelve en silencio a un generador de números aleatorios por software.
¿Y de qué se alimenta esa “aleatoriedad por software”? Número de serie del chip + registro del reloj.
El número de serie es un dato fijo de fábrica. El valor del reloj es un estado temporal que se puede inferir.
Es como usar el código de la caja fuerte: número de fábrica más el tiempo actual.
El atacante solo necesita ejecutar una búsqueda exhaustiva en su propio dispositivo—el espacio de búsqueda de la Mk3 es de solo unas 40 bits, mientras que la semilla segura debería ser de 128 bits. Con 40 bits, una computadora moderna te la calcula en minutos.
Crees que es un muro de contención, pero en realidad es papel. El hacker está en casa tomando café y te calcula la clave privada.
Lo más duro es que esto no le pasó a algún “producto de nicho” cualquiera.
Coldcard es una de las carteras de hardware más recomendadas en la comunidad de Bitcoin, “la favorita de los geeks”, “el símbolo de la fe del autoservicio”. ¿Y qué? La Mk3 cayó en todo de la 4.0.1 a la 4.1.9. Luego el anuncio se amplió—Mk4 y Mk5 por debajo de la versión 5.6.0, Q por debajo de la versión 1.5.0Q, también afectadas.
Prácticamente todo el catálogo quedó comprometido.
El CEO Rodolfo Novak (NVK) se disculpó el viernes, diciendo que la empresa asume toda la responsabilidad y que el proceso interno de revisión no detectó el problema.
Y luego dijo una frase que hizo helarse la espalda de toda la industria—que esta vulnerabilidad, muy probablemente, la descubrió la IA.
Coinkite hace apenas unas semanas escaneó su código con modelos de IA de última generación—y no encontró nada. El hacker usó las mismas herramientas y lo descubrió.
Los defensores y los atacantes usan el mismo arma, y el atacante gana.
Ahora viene lo más importante—
“Las carteras de hardware son más seguras que las exchanges”—¿sigue en pie esa fe?
Durante los últimos cinco años, cada vez que una exchange revienta, huye o es hackeada, nos decíamos: no pasa nada, mientras uno controle las claves privadas estará seguro. Compren Coldcard, generen sin conexión, aislamiento físico, y nada puede salir mal.
¿Y el resultado? Un fallo de una sola línea, y estalla concentradamente después de cinco años. Los fondos que guardas en tu cold wallet, frente a los que dejan en una exchange para que los drenen—el desenlace es el mismo: se fueron.
El desarrollador de Bitcoin Peter Todd dijo que es algo de lo que lleva años preocupado. Las carteras de hardware comerciales ejecutan código, pero la revisión independiente que reciben esos códigos es extremadamente limitada. Confiar en lo “hardware” que usas, en el fondo es confiar en una caja negra cerrada, que casi nadie audita.
Y más fuerte todavía—aunque exportes la frase semilla a otra cartera, la vulnerabilidad te sigue. Porque el problema ocurre en el momento en que se genera la frase semilla, no en el dispositivo en sí.
Tu “autoservicio” deja de ser autoservicio desde el mismo instante en que se generó la semilla hace cinco años.
Dicho con cariño:
Crees que estás “guardando tú mismo” tu Bitcoin. En realidad estás “guardando para el hacker”—solo que hoy recién se les ocurrió venir a recogerlo.
Cinco años. Esas 1.000 y pico BTC en esas direcciones, con el dueño creyendo que era infalible. El hacker podía calcularlo en cualquier momento después de marzo de 2021; solo eligió el 30 de julio, y en 41 minutos las vació por completo.
Pasaste noches investigando cómo almacenar de forma segura, y una línea de código te devolvió a la época de la liberación antes.
¿Qué hacer ahora?
Paso 1: Revisa la versión de firmware de tu Coldcard. Mk3 4.0.1 a 4.1.9, Mk4/Mk5 por debajo de 5.6.0, Q por debajo de 1.5.0Q—si tu frase semilla fue generada en esas versiones, por defecto asume que ya estás expuesto.
Paso 2: Actualiza el firmware a la versión más reciente—Mk3 4.2.0 o superior, Mk4/Mk5 5.6.0 o superior, Q 1.5.0Q o superior.
Paso 3: Actualizar el firmware no equivale a reparar las semillas ya generadas. Necesitas usar el dispositivo actualizado para generar nuevas frases semilla, crear direcciones nuevas y luego migrar todos los activos.
Paso 4: Antes de migrar, haz una transferencia de prueba con un monto pequeño. Confirma que todo está bien y recién después transfiere el saldo.
Si al generar la semilla usaste números aleatorios adicionales con dados o una frase de contraseña BIP39, ¡felicidades! Probablemente estés a salvo. Pero Coinkite igual te recomienda migrar.
Por último, una pregunta para todos:
Si hasta Coldcard puede tener algo así—¿de verdad te sientes tan tranquilo con otras carteras de hardware que tengas? #Gate独家美股0费率 #USD1持币生息最高8% #长鑫科技市值突破4万亿元 $BTC $ETH $SOL
Hermanos, les cuento algo.
Si han usado Coldcard, ahora mismo—en seguida, antes de seguir bajando—primero comprueben la versión de su firmware.
Del 30 de julio, a la 1:10 a la 1:51 de la madrugada. 41 minutos.
1196 direcciones quedaron vacías.
1082,65 BTC, unos 70 millones de dólares, desaparecieron de esas carteras de Coldcard que estaban guardadas en cajas fuertes, desconectadas de internet, y sin moverse durante meses e incluso años, como por arte de magia.
El dispositivo no fue tocado en todo el tiempo.
El atacante ni siquiera tocó su cartera. Su cartera tal vez esté soldada a una caja fuerte, tal vez enterrada en el sótano—no sirve de nada.
Esto podría ser lo más irónico de 2026.
¿Cuál es la mayor baza de una cartera de hardware?—“La clave privada nunca toca la red, aislamiento físico, seguridad absoluta”.
¿Y qué pasó? La vulnerabilidad está en una línea de código del 3 de 2021.
El firmware de Coldcard debería llamar al generador de números aleatorios del hardware para crear las frases semilla. Pero una verificación de compilación solo verificó que “la configuración existe”, no que “la configuración esté habilitada”—y entonces el sistema vuelve en silencio a un generador de números aleatorios por software.
¿Y de qué se alimenta esa “aleatoriedad por software”? Número de serie del chip + registro del reloj.
El número de serie es un dato fijo de fábrica. El valor del reloj es un estado temporal que se puede inferir.
Es como usar el código de la caja fuerte: número de fábrica más el tiempo actual.
El atacante solo necesita ejecutar una búsqueda exhaustiva en su propio dispositivo—el espacio de búsqueda de la Mk3 es de solo unas 40 bits, mientras que la semilla segura debería ser de 128 bits. Con 40 bits, una computadora moderna te la calcula en minutos.
Crees que es un muro de contención, pero en realidad es papel. El hacker está en casa tomando café y te calcula la clave privada.
Lo más duro es que esto no le pasó a algún “producto de nicho” cualquiera.
Coldcard es una de las carteras de hardware más recomendadas en la comunidad de Bitcoin, “la favorita de los geeks”, “el símbolo de la fe del autoservicio”. ¿Y qué? La Mk3 cayó en todo de la 4.0.1 a la 4.1.9. Luego el anuncio se amplió—Mk4 y Mk5 por debajo de la versión 5.6.0, Q por debajo de la versión 1.5.0Q, también afectadas.
Prácticamente todo el catálogo quedó comprometido.
El CEO Rodolfo Novak (NVK) se disculpó el viernes, diciendo que la empresa asume toda la responsabilidad y que el proceso interno de revisión no detectó el problema.
Y luego dijo una frase que hizo helarse la espalda de toda la industria—que esta vulnerabilidad, muy probablemente, la descubrió la IA.
Coinkite hace apenas unas semanas escaneó su código con modelos de IA de última generación—y no encontró nada. El hacker usó las mismas herramientas y lo descubrió.
Los defensores y los atacantes usan el mismo arma, y el atacante gana.
Ahora viene lo más importante—
“Las carteras de hardware son más seguras que las exchanges”—¿sigue en pie esa fe?
Durante los últimos cinco años, cada vez que una exchange revienta, huye o es hackeada, nos decíamos: no pasa nada, mientras uno controle las claves privadas estará seguro. Compren Coldcard, generen sin conexión, aislamiento físico, y nada puede salir mal.
¿Y el resultado? Un fallo de una sola línea, y estalla concentradamente después de cinco años. Los fondos que guardas en tu cold wallet, frente a los que dejan en una exchange para que los drenen—el desenlace es el mismo: se fueron.
El desarrollador de Bitcoin Peter Todd dijo que es algo de lo que lleva años preocupado. Las carteras de hardware comerciales ejecutan código, pero la revisión independiente que reciben esos códigos es extremadamente limitada. Confiar en lo “hardware” que usas, en el fondo es confiar en una caja negra cerrada, que casi nadie audita.
Y más fuerte todavía—aunque exportes la frase semilla a otra cartera, la vulnerabilidad te sigue. Porque el problema ocurre en el momento en que se genera la frase semilla, no en el dispositivo en sí.
Tu “autoservicio” deja de ser autoservicio desde el mismo instante en que se generó la semilla hace cinco años.
Dicho con cariño:
Crees que estás “guardando tú mismo” tu Bitcoin. En realidad estás “guardando para el hacker”—solo que hoy recién se les ocurrió venir a recogerlo.
Cinco años. Esas 1.000 y pico BTC en esas direcciones, con el dueño creyendo que era infalible. El hacker podía calcularlo en cualquier momento después de marzo de 2021; solo eligió el 30 de julio, y en 41 minutos las vació por completo.
Pasaste noches investigando cómo almacenar de forma segura, y una línea de código te devolvió a la época de la liberación antes.
¿Qué hacer ahora?
Paso 1: Revisa la versión de firmware de tu Coldcard. Mk3 4.0.1 a 4.1.9, Mk4/Mk5 por debajo de 5.6.0, Q por debajo de 1.5.0Q—si tu frase semilla fue generada en esas versiones, por defecto asume que ya estás expuesto.
Paso 2: Actualiza el firmware a la versión más reciente—Mk3 4.2.0 o superior, Mk4/Mk5 5.6.0 o superior, Q 1.5.0Q o superior.
Paso 3: Actualizar el firmware no equivale a reparar las semillas ya generadas. Necesitas usar el dispositivo actualizado para generar nuevas frases semilla, crear direcciones nuevas y luego migrar todos los activos.
Paso 4: Antes de migrar, haz una transferencia de prueba con un monto pequeño. Confirma que todo está bien y recién después transfiere el saldo.
Si al generar la semilla usaste números aleatorios adicionales con dados o una frase de contraseña BIP39, ¡felicidades! Probablemente estés a salvo. Pero Coinkite igual te recomienda migrar.
Por último, una pregunta para todos:
Si hasta Coldcard puede tener algo así—¿de verdad te sientes tan tranquilo con otras carteras de hardware que tengas? #Gate独家美股0费率 #USD1持币生息最高8% #长鑫科技市值突破4万亿元 $BTC $ETH $SOL
0
