Hack Coldcard: el ladrón de la oleada 1 ya podría ser conocido por el FBI

Más de 1.082 BTC robados, aún intactos en la dirección del hacker. Una pista concreta que remonta a una cuenta de pago en un proveedor de datos blockchain. Y una pregunta que sobrevuela todo el caso: ¿se trata de un atacante externo altamente sofisticado o de un insider que conocía el fallo desde hace años?

El caso Coldcard adquiere una nueva dimensión. Según los investigadores de Block y los análisis de Alex Thorn en Galaxy Research, la identidad del hacker responsable de la primera y más masiva oleada de vaciados podría ser ya conocida por las autoridades estadounidenses. Un escenario que abre la puerta a una eventual devolución de fondos a las víctimas —siempre que los activos permanezcan congelados.

Esto es lo que se sabe hasta ahora y lo que los datos on-chain revelan sobre uno de los hacks de Bitcoin más importantes de 2026.

1.082 BTC robados: una huella digital que delata al hacker

El 30 de julio de 2026, un atacante comenzó a vaciar metódicamente carteras Coldcard que habían generado sus seeds bajo firmwares vulnerables —un fallo de entropía que pasó desapercibido durante cinco años, presente desde el MK2 con el firmware 4.0.1. La primera oleada, la más masiva, desplazó 1.082,65 BTC en un único movimiento coordinado. Las oleadas posteriores elevaron el total estimado a más de 2.000 BTC, equivalentes a aproximadamente 118 millones de dólares confirmados robados hasta la fecha.

Fue el equipo de ingeniería de Block, a través de Clay Garrett, quien aportó la pista más sólida. El 31 de julio, Garrett publicó las conclusiones de su investigación: «Hemos identificado un patrón inusual en los sweeps. Ese patrón nos llevó a una hipótesis que desde entonces ha sido confirmada: el operador utilizó una cuenta de pago en un proveedor de servicios blockchain de reconocido prestigio para consultar las direcciones de origen y llevar a cabo otras actividades relacionadas durante los vaciados.» Block contactó con dicho proveedor, cuyos registros internos coinciden con el patrón del robo con una «especificidad extraordinaria».

Alex Thorn, en una intervención en el canal de Bitcoin Magazine en YouTube, fue explícito: «La identidad del atacante de la oleada 1 podría ser ya conocida por las fuerzas del orden.» Los 1.082,65 BTC de la oleada 1 permanecen intactos en la dirección del hacker —un detalle crucial que mantiene abierta la posibilidad de una recuperación de fondos para las víctimas.

¿Fallo de entropía o ataque insider? La pregunta que lo cambia todo

Detrás de la búsqueda del hacker se esconde una interrogante aún más inquietante: ¿quién conocía este fallo desde el principio? La vulnerabilidad de entropía que afecta a la generación de claves privadas en los Coldcard MK2 y versiones posteriores (firmware 4.0.1 en adelante) permaneció latente durante cinco años. La propia Coinkite había mencionado públicamente el riesgo de un «ataque de jubilación» —un escenario en el que un insider explotaría una puerta trasera en el momento de abandonar la empresa.

Esta hipótesis no está descartada. La precisión quirúrgica de los sweeps, el aparente conocimiento previo de las direcciones vulnerables y el uso de una cuenta profesional en un proveedor de datos blockchain apuntan a alguien con una expertise técnica avanzada —y potencialmente con acceso privilegiado a información interna. La oleada 2, que suma aproximadamente 76 BTC adicionales al total, presenta un patrón suficientemente similar como para que Alex Thorn contemple que se trate del mismo actor.

El ataque continúa activo. Coinkite ha publicado un aviso urgente: cualquier usuario de un Coldcard MK2 o superior con firmware 4.0.1 o posterior debe verificar sus fondos y moverlos de inmediato. Más de 5.000 direcciones han sido comprometidas según las estimaciones actuales, y los informes de nuevas víctimas no dejan de llegar. La ventana para actuar sigue abierta —pero se está cerrando.