El investigador especializado en blockchain ZachXBT afirma que no tiene intención de rastrear el hackeo de Coldcard, por valor de 88,6 millones de dólares, y ha comentado a sus seguidores que la comunidad de Bitcoin le ha brindado poco apoyo a cambio de su trabajo en los últimos años.
ZachXBT se niega a investigar el hackeo de Coldcard por valor de 88 millones de dólares
ESCRITO POR
COMPARTIR
Puntos clave
- ZachXBT se ha negado a investigar el hackeo de Coldcard, alegando la escasa ayuda recibida por parte de los titulares de bitcoins.
- La brecha de seguridad de Coldcard, propiedad de Coinkite, ha sustraído 1.367 BTC de 4.585 direcciones desde el 30 de julio de 2026.
- Galaxy Research sigue rastreando los fondos robados, mientras que la política de retención de correos electrónicos de Coinkite suscita nuevas críticas.
ZachXBT afirma que tiene «menos obligación» de ayudar
El prolífico investigador de la cadena de bloques, conocido por desenmascarar a los hackers responsables de algunos de los mayores robos en el mundo de las criptomonedas, publicó en X que, por el momento, no tiene planes de supervisar ni rastrear el incidente de Coldcard. Afirmó que dedica su tiempo a ecosistemas que valoran su trabajo, y añadió que los «maxis» de Bitcoin no son donantes ni apoyan sus investigaciones, por lo que tiene menos obligación de ayudar.
El comentario se produjo cuando la filtración de Coldcard entraba en su quinto día y el total acumulado seguía aumentando. ZachXBT ha trabajado anteriormente de forma gratuita en casos importantes, y su publicación sugiere que existe una gran brecha entre la buena voluntad que le ha mostrado la comunidad de Bitcoin y el esfuerzo que se le pide que realice cuando las cosas van mal.
La brecha de seguridad de Coldcard hasta ahora
La vulnerabilidad se remonta a un fallo de firmware en las carteras de hardware fabricadas por la empresa canadiense Coinkite. El fallo afectó a los dispositivos Coldcard Mk3 que ejecutaban las versiones 4.0.1 a 4.1.9, lo que provocó que algunas carteras generaran la entropía de la semilla mediante un generador de números aleatorios de software en lugar del chip dedicado del hardware, un defecto que hacía que ciertas semillas pudieran adivinarse.
La primera oleada se produjo el 30 de julio, cuando aproximadamente 594 BTC —con un valor de unos 38 millones de dólares en ese momento— fueron sustraídos de cerca de 500 direcciones inactivas en menos de 30 minutos. Coinkite lanzó un firmware parcheado en dos días, pero el daño siguió extendiéndose y, para el 2 de agosto, Galaxy Research había calculado que el total acumulado ascendía a 1 367 BTC, por valor de 88,6 millones de dólares, sustraídos de 4 585 direcciones a lo largo de tres oleadas de ataques distintas.
El ritmo y la precisión de los robos alimentaron las especulaciones de que el uso de herramientas automatizadas, posiblemente asistidas por IA, ayudó al atacante a identificar y vaciar las direcciones vulnerables en cuestión de minutos en cada oleada. El robo siguió aumentando de forma exponencial incluso cuando se dispararon los depósitos en las plataformas de intercambio procedentes de los fondos robados y los BTC más antiguos, anteriormente inactivos y vinculados al caso, comenzaron a moverse de nuevo.
La retención de datos agrava la polémica
La gestión de Coinkite tras el incidente se ha convertido en una controversia en sí misma, dado que la empresa envió un correo electrónico a todas las direcciones de clientes a las que pudo acceder a partir de los registros de su tienda y de su boletín informativo —algunas de las cuales se remontaban a 2019— para advertirles del fallo.
Esto contradecía las afirmaciones anteriores del director ejecutivo, Rodolfo Novak, de que Coinkite borraba los datos de los clientes 90 días después de una compra y ofrecía opciones de compra anónimas. Posteriormente, Coinkite admitió que conserva indefinidamente las direcciones de correo electrónico de compra y reconoció que carece de una política de eliminación para esos datos, una revelación que provocó su propia oleada de críticas, al margen del propio ataque.
Novak ha defendido el historial general de seguridad de la empresa, señalando que los competidores sufren filtraciones con regularidad y que Coinkite se toma el asunto muy en serio. Aun así, el episodio ya ha empezado a minar la confianza en la autocustodia y podría empujar a los inversores más cautelosos a volver a los fondos cotizados en bolsa en lugar de gestionar sus propias claves.
La saga también se ha extendido a un drama en la cadena de bloques más allá del propio robo. Se publicó directamente en la cadena de bloques de Bitcoin una descarada oferta de blanqueo de bitcoins dirigida al hacker, lo que convirtió el caso en un espectáculo público que se desarrollaba en tiempo real en las redes sociales y en los datos de la cadena de bloques.
Con la retirada de figuras clave como ZachXBT, la responsabilidad de rastrear los 1 367 BTC robados recae ahora con mayor peso en empresas como Galaxy Research, que ha ido publicando actualizaciones por oleadas a medida que evoluciona la actividad de la cartera del atacante. Han salido a la luz informes que indican que el fallo de entropía que afecta a los dispositivos Coldcard Mk3 se remonta a una versión de firmware de marzo de 2021, lo que significa que cualquier semilla de monedero generada en esa versión durante más de cuatro años podría seguir estando expuesta hasta que los propietarios cambien a una semilla nueva en el firmware parcheado.
Este artículo fue traducido del inglés mediante IA. La versión original en inglés es la fuente autorizada; las traducciones automáticas pueden contener imprecisiones, especialmente en la terminología legal y regulatoria.
