Hack Coldcard: cómo los investigadores rastrean los Bitcoin robados

Una cartera hardware considerada inviolable, víctimas que reportan pérdidas y analistas que aún no logran cuantificar el alcance real de los daños. El hack de Coldcard plantea preguntas fundamentales sobre la seguridad de los cold wallets.

Todavía no se ha establecido ninguna cifra definitiva. Las estimaciones varían según las fuentes, entre las declaraciones de las víctimas y los resultados del análisis on-chain — dos métodos que no siempre convergen.

Detrás de este caso se esconde una realidad poco conocida: rastrear Bitcoin robados es una disciplina en sí misma, tan rigurosa como compleja.

Un balance aún difuso: por qué las pérdidas son difíciles de cuantificar

A diferencia de los hacks de protocolos DeFi, donde los smart contracts registran todo de forma transparente, el robo de Bitcoin a través de una hardware wallet deja rastros mucho más fragmentados. Los investigadores se apoyan principalmente en dos fuentes de información: los reportes voluntarios de las víctimas y el análisis independiente de la blockchain.

¿El problema? Ambos enfoques arrojan resultados divergentes. Algunas víctimas nunca reportan su pérdida — por vergüenza, por desconocimiento de los recursos disponibles o porque aún ignoran que han sido comprometidas. Otras, en cambio, sobreestiman sus pérdidas o confunden varios incidentes distintos. Esta asimetría de información hace que cualquier estimación global sea especialmente arriesgada.

En cuanto al análisis on-chain, los investigadores examinan las direcciones Bitcoin asociadas a las wallets Coldcard reportadas como comprometidas. Buscan patrones de movimiento de fondos — transferencias rápidas hacia mixers, consolidación de UTXOs sospechosos o enrutamiento hacia exchanges conocidos por su bajo nivel de KYC. Sin una lista exhaustiva de direcciones afectadas, el perímetro exacto del hack sigue siendo una aproximación.

El análisis on-chain: la ciencia que rastrea los fondos robados

El análisis on-chain es hoy la herramienta central de cualquier investigación sobre un robo de criptomonedas. Firmas especializadas como Chainalysis, Elliptic o CipherTrace disponen de bases de datos masivas que permiten clusterizar direcciones Bitcoin — es decir, agrupar direcciones que probablemente pertenecen a una misma entidad, basándose en heurísticas de gasto común (common input ownership).

En la práctica, cuando un atacante mueve fondos robados, deja huellas digitales. Cada transacción de Bitcoin es pública e inmutable en la blockchain. Los investigadores pueden así reconstruir el camino seguido por los fondos: desde la wallet comprometida hasta los intentos de liquidación en un exchange centralizado, pasando por posibles servicios de mixing como Wasabi Wallet o protocolos CoinJoin.

La principal dificultad reside en las técnicas de ofuscación empleadas por los atacantes. El uso de mixers, los chain hops (conversión a otras criptos y vuelta al BTC) o el empleo de múltiples wallets intermedias complica considerablemente el trabajo de rastreo. Aun así, las tasas de resolución avanzan: según Chainalysis, una proporción creciente de los fondos robados acaba siendo identificada, incluso meses después de los hechos.

Coldcard en entredicho: lo que este incidente revela sobre la seguridad de las hardware wallets

El hack de Coldcard resulta especialmente impactante porque esta wallet ha sido históricamente considerada una de las más seguras del mercado, muy valorada entre los Bitcoiners avanzados y los holders de grandes cantidades. Coldcard está diseñada para funcionar en air gap total — sin conexión USB activa durante la firma de transacciones — lo que la hace teóricamente impermeable a los ataques remotos.

Los primeros análisis sugieren que el vector de ataque no sería una vulnerabilidad en el firmware del propio dispositivo, sino potencialmente una compromisión previa: un ataque a la cadena de suministro (supply chain attack), phishing dirigido a las seed phrases o la explotación de una vulnerabilidad en el software complementario utilizado para generar o gestionar las wallets. Estas hipótesis están pendientes de confirmación por parte de las investigaciones en curso.

Este incidente recuerda una verdad fundamental de la seguridad en cripto: la robustez de una hardware wallet solo tiene valor si toda la cadena de seguridad se mantiene intacta — desde la generación de la seed phrase hasta su almacenamiento físico, pasando por los hábitos del usuario. Un dispositivo inviolable no protege contra una seed phrase fotografiada o guardada en la nube.