Un robo de 60 millones en 41 minutos: los ‘hackers’ desvalijan uno de los lugares más seguros para custodiar criptomonedas
Los ciberdelincuentes aprovecharon una vulnerabilidad de los monederos fríos Coldcard y sustrajeron 96 millones de euros en bitcoin, en un incidente todavía en curso
Ver el capítulo de una serie, hacer la compra de la semana o viajar en tren entre Madrid y Toledo lleva unos 41 minutos. Ese fue el tiempo que necesitaron unos hackers para sustraer cerca de 70 millones de dólares, unos 60,8 millones de euros, en bitcoin de uno de los sistemas considerados más seguros para custodiar criptomonedas: los llamados monederos fríos. En apenas tres cuartos de hora, el jueves pasado unos hackers aprovecharon una vulnerabilidad en los dispositivos de Coldcard para vaciar miles de monederos. Pero los cibercriminales siguen atacando y a los 70 millones ya mencionados se suman otros 40 sustraídos en los últimos días, por un total de 1.755 bitcoin robados de unas 5.000 billeteras, según datos de Galaxy Research.
Los monederos fríos son el equivalente digital a una caja fuerte. Se consideran la forma más segura para guardar las claves de acceso a los activos digitales. No están conectados a internet, lo que reduce drásticamente el riesgo de sufrir ataques, robos o accesos no autorizados. Empresas, gobiernos y particulares recurren a esta tecnología para proteger su información y patrimonio digital, e incluso los usuarios pueden utilizar esta solución por cuenta propia, mediante autocustodia.
Sin embargo, el incidente de Coldcard ha demostrado que ni siquiera esta solución es infalible. Cuando un usuario configura un monedero, el dispositivo genera una secuencia aleatoria de 12 a 24 palabras, una llave maestra conocida como frase semilla, a partir de la cual se derivan todas las claves privadas necesarias para controlar los fondos. Ese código ejerce de clave de bóveda de la cartera: quien la conoce puede recuperar el acceso a los bitcoin almacenados en ella.
Las claves privadas, en cambio, son una cadena de letras y números generada de forma matemática a partir de la semilla, y se utilizan para firmar y autorizar transacciones en la cadena de bloques. “Estas claves proceden de una semilla. Por ello, si alguien la conoce, podría acceder a todas las claves privadas”, explica Ferdinando Ametrano, CEO de CheckSig.
El origen de la vulnerabilidad de estos dispositivos se remonta a 2021. Algunos monederos, en lugar de crear combinaciones completamente aleatorias e imposibles de adivinar, generaban semillas utilizando un sistema más predecible de lo previsto y las combinaciones eran menores de las que deberían haber sido. Así, los atacantes fueron probando las combinaciones posibles en un ordenador corriente hasta encontrar la correcta, y luego vaciaron los monederos, sin necesidad de instalar un malware, recurrir al phishing o tener acceso físico a los dispositivos, detalla Ametrano.
El inversor canadiense Jonathan Goodman es uno de los afectados. En una larga publicación en X ha relatado que desaparecieron 1,6 millones de dólares en bitcoin de su monedero. Cuando Coinkite, la empresa canadiense que produce estos dispositivos, avisó a sus clientes sobre el incidente, Goodman pensó que no le afectaría. Sus bitcoin estaban almacenados en una billetera fría y el dispositivo permanecía guardado en una caja de seguridad. Le parecía impensable que alguien pudiera acceder a sus fondos. Pero cuando entró en sus billeteras, se dio cuenta de que lo había perdido todo. “Vi líneas de transacciones rojas, o sea, retiradas de fondos. Fue entonces cuando lo entendí”, escribió en X.
En su caso, los hackers tardaron apenas siete minutos en vaciar sus cuentas. “Entre las 21.36 y las 21.43 horas del 29 de julio, mis tres monederos quedaron completamente vacíos. No espero recuperar nada”, aseguró. Chainalysis, una de las firmas dedicadas a rastrear los movimientos de los activos robados en la blockchain, ha revelado que los atacantes se centraron principalmente en billeteras de alto valor, como la de Goodman. “Este patrón sugiere que estudiaron previamente sus objetivos antes de actuar”, asegura. El hecho de que los criminales priorizaran las billeteras más grandes hizo que el valor robado se disparara hasta los 30 millones de dólares en los primeros 10 minutos, detalla.
Este nuevo incidente pone de relieve los límites de la autocustodia de los activos digitales. “La autocustodia transfiere el control al inversor, pero junto con el control vienen riesgos técnicos y operativos que a menudo no puede observar: “Tus llaves, tus monedas se convierte entonces en tus llaves, tus problemas”, comenta Ametrano.
Anthony J. Pompliano, inversor y CEO de ProCap Financial, reconoce que la autocustodia no es para todos. “Creo en el derecho de cada individuo a ejercer su soberanía sobre sus activos. Sin embargo, también debemos reconocer que la autocustodia es técnicamente compleja, que algunas personas, pero no todas, están preparadas para asumir”, asevera en su boletín. Según Ari Redbord, responsable global de políticas de TRM Labs, el caso de Coldcard evidencia que la autocustodia “no elimina el riesgo, sino que lo traslada”.
El incidente refleja también una tendencia cada vez más visible en el ecosistema cripto. Los robos se concentran en un número reducido de ataques de gran escala, cada vez más sofisticados. El golpe sufrido por la plataforma Bybit a comienzos de 2025 es el mejor ejemplo. Según Chainalysis, las criptomonedas robadas superaron los 3.400 millones de dólares entre enero y principios de diciembre de ese año, de los que 1.500 millones correspondieron únicamente al ataque contra Bybit.
Los tres mayores hackeos de 2025 acumularon, por sí solos, el 69% de todas las pérdidas registradas por el sector. También cambian los objetivos: los monederos personales concentran una proporción creciente de los fondos sustraídos. Si en 2022 representaban apenas el 7,3% del valor total robado, en 2024 ya suponían el 44%.