El pasado 30 de julio, los usuarios de Coldcard recibieron una advertencia alarmante: un error de software en el firmware de sus dispositivos había generado frases semilla con muy poca aleatoriedad, dejando sus billeteras expuestas a ataques. Lo que siguió fue una de las mayores oleadas de robos y movimientos de Bitcoin desde el colapso de FTX.

El bug y las oleadas de ataques

Según Galaxy Research, el incidente provocó tres oleadas de ataques sospechosos que afectaron a 4.585 direcciones y drenaron 1.367,05 BTC, valorados en aproximadamente 89 millones de dólares. Alex Thorn, jefe de investigación de Galaxy Digital, señaló que el Bitcoin de esas tres oleadas permanece en direcciones controladas por los atacantes, aunque ya se están produciendo robos más pequeños a través de peel chains, servicios cross-chain y casinos offshore.

Posteriormente, Thorn advirtió de una cuarta oleada: 218 transacciones que impactaron 462 direcciones potenciales, moviendo unos 388,9 BTC. La actividad alcanzó un promedio de 13,8 barridos por bloque, unas 45 veces la tasa de una ventana de control previa. A diferencia de los ataques anteriores, la mayoría de las transferencias crearon nuevas direcciones de destino para cada víctima, en lugar de converger en una billetera central.

«Estos son PROBABLEMENTE víctimas de Coldcard: coinciden con la forma de los UTXO vulnerables de Coldcard y el patrón de transacciones elevado me da alta confianza de que son otra oleada de ataques», afirmó Thorn.

Migraciones masivas distorsionan las señales de mercado

La amenaza llevó a los usuarios potencialmente expuestos a mover sus fondos antes de que los atacantes lo hicieran. Aunque Coinkite lanzó firmware corregido, las frases semilla afectadas no pueden repararse mediante una actualización, obligando a los titulares a generar nuevas billeteras y transferir sus fondos a direcciones seguras.

Esa migración produjo un aumento inusual en la actividad de pequeños tenedores y monedas inactivas. CryptoQuant reportó que las transacciones con salidas de menos de 1 BTC alcanzaron los 39.600 BTC el 31 de julio, el mayor volumen diario para ese grupo desde noviembre de 2022, cuando se movieron 39.900 BTC tras el colapso de FTX. Las direcciones activas diarias de Bitcoin saltaron de unas 645.000 el 30 de julio a casi 1 millón al día siguiente, el nivel más alto desde el 10 de diciembre de 2024.

El analista de CryptoQuant Julio Moreno señaló que el aumento se concentró en las direcciones de envío, mientras que las de recepción crecieron mucho menos, lo que sugiere que los titulares estaban moviendo fondos como precaución. JA Maartunn, también de CryptoQuant, añadió que 77.402 BTC de bandas de UTXO antiguas se habían movido desde que se conoció la vulnerabilidad, pero advirtió que el contexto apunta a usuarios asegurando sus ahorros, no a una capitulación de inversores.

El sentimiento del mercado se desploma

Mientras la red bullía de actividad, el sentimiento del mercado se deterioró. Santiment informó que la proporción de comentarios positivos frente a negativos sobre Bitcoin cayó a 0,58, el nivel más bajo desde que comenzó su seguimiento moderno en redes sociales como X, Reddit y Telegram. La firma atribuyó la reacción inusualmente severa a la naturaleza de la brecha: el exploit afectó al almacenamiento en frío, considerado por muchos como la última línea de defensa más segura de Bitcoin.

Las barreras de la IA en la investigación

La investigación de los fondos robados se topó con un obstáculo inesperado: las salvaguardas de los modelos de lenguaje de IA estadounidenses. Alex Thorn explicó que los sistemas de seguridad de estos modelos bloquearon intentos de analizar los datos de los ataques, obligando a los investigadores a recurrir a un modelo chino de código abierto. Thorn no identificó los modelos estadounidenses ni las instrucciones rechazadas, pero el problema refleja una paradoja: los atacantes pueden usar sistemas sin restricciones, mientras que los defensores se topan con barreras al intentar contener incidentes activos.

¿Qué sigue?

Galaxy Research ha compartido sus hallazgos con las autoridades, firmas de cumplimiento e investigadores. Thorn mencionó que se han reportado unas 600 direcciones que se cree contienen Bitcoin robado de billeteras Coldcard vulnerables. Mientras tanto, los usuarios afectados que aún controlen sus claves pueden intentar transmitir una transacción en conflicto con una tarifa más alta para adelantarse a los atacantes. La firma insta a cualquier usuario de Coldcard a verificar si su billetera fue generada con firmware afectado y, de ser así, a migrar sus fondos inmediatamente.