Falló de firmware de Coldcard: robo de 100M+ BTC confirmado, posible cuarta oleada
Galaxy Research afirma que las fallas del firmware de Coldcard, asociadas a robos, ya están confirmadas en 1.596 BTC (aprox. 100M+ USD) sustraídos de unas 7.300 direcciones en tres grandes oleadas de ataque y 14 incidentes más pequeños. Es posible una supuesta cuarta oleada con confianza de nivel medio-alto, lo que podría elevar las pérdidas totales a 2.055 BTC (aprox. 130M USD). Galaxy mantuvo la cuarta oleada fuera de los totales “confirmados” porque aún no han respondido las víctimas; hasta ahora, 73 víctimas se han puesto en contacto con la firma y han ayudado a verificar las tres primeras oleadas.
En la cadena de bloques, aproximadamente el 90% de los bitcoins robados no se ha movido. Las direcciones de atacante y víctima se han compartido con las fuerzas policiales federales de EE. UU., exchanges e investigadores de ciberseguridad, mientras se describen barridos como en curso. Galaxy vincula el incidente con un error de compilación del firmware de Coldcard de marzo de 2021: una configuración omitió el generador de números aleatorios del hardware del dispositivo y la generación de claves recurrió a un sustituto software, sembrado con datos del número de serie del chip y del temporizador. Se envió un firmware corregido el 31 de julio, pero no puede reparar semillas ya generadas con la configuración vulnerable.
Para los traders, el impacto inmediato en el mercado para el BTC probablemente es limitado, pero los titulares sobre la vulnerabilidad del firmware de Coldcard pueden afectar temporalmente al sentimiento de riesgo sobre la autocustodia. La implicación a más largo plazo es un mayor enfoque en la seguridad operativa, especialmente para los usuarios que retrasaron las actualizaciones de firmware de Coldcard después de que surgiera la vulnerabilidad.
Neutral
Esto es, principalmente, un incidente de hardware-wallet de autocustodia. Aunque la vulnerabilidad confirmada del firmware de Coldcard que permitió el robo ya supera los 100 millones de dólares y una posible 4.ª oleada podría elevar las pérdidas hasta unos 130 millones, Galaxy señala que aproximadamente el 90% de los BTC robados aún no se ha movido. Esto reduce la presión inmediata de venta en las bolsas derivada de este hack en particular.
Corto plazo: los traders podrían ver un sentimiento temporal de aversión al riesgo por titulares sobre autocustodia y seguridad, pero el impacto del precio de BTC probablemente sea limitado si no hay evidencia de una distribución grande e inminente hacia centros de liquidez.
Largo plazo: el enfoque en la seguridad operativa podría impulsar a más usuarios a actualizar firmware o migrar semillas, pero esto es más un cambio de comportamiento estructural que un shock directo de demanda de BTC. En general, la información difundida genera preocupación, pero no se traduce con claridad en unos fundamentales bajistas de BTC a corto plazo.