Puntos clave de la noticia:
- Galaxy identificó al menos 15 atacantes después de que víctimas revelaran robos de Coldcard previamente ocultos, incluido uno de 12 BTC desde 126 direcciones.
- Las pérdidas confirmadas rondan $100 millones en tres oleadas, mientras una cuarta fase podría elevar el total hasta aproximadamente $130 millones en Bitcoin.
- Investigadores discrepan sobre si pruebas con IA habrían evitado el fallo, pero coinciden en que una entropía de 40 bits facilitó ataques independientes.
Galaxy Digital afirma que al menos 15 atacantes explotaron la vulnerabilidad de Coldcard, según nuevos testimonios de víctimas después de conocerse el incidente. Alex Thorn explicó que esas denuncias permitieron etiquetar actores que habrían permanecido ocultos, porque el ataque no se parecía a una brecha centralizada. Los nuevos reportes revelan una campaña fragmentada, no un único robo coordinado. En un caso, una víctima que informó la pérdida de menos de 1 BTC ayudó a identificar un ataque que drenó 12 BTC desde 126 direcciones, mostrando cómo una denuncia pequeña puede descubrir un patrón mucho mayor.
now NUMEROUS different attackers exploiting the Coldcard vulnerability. we estimate at least 15 different attackers now
we continue to receive victim reports and give them info to report to authorities
and those reports help us identify new attacks and label attackers https://t.co/6ybBTqJPb6
— Alex Thorn (@intangiblecoins) August 4, 2026
Los nuevos reportes amplían la estimación de pérdidas y el debate sobre la IA
Galaxy calcula pérdidas confirmadas cercanas a $100 millones en tres oleadas y ha identificado una cuarta fase que podría elevar el total hasta unos $130 millones en Bitcoin. La estimación creciente sugiere que el ataque todavía está siendo reconstruido, no plenamente contenido ni comprendido. A diferencia de un hackeo de exchange con un punto visible, las semillas comprometidas pueden ser explotadas independientemente por distintos actores, dificultando la atribución, el conteo de víctimas y el cálculo final. El aumento de atacantes también reabre dudas sobre la autocustodia cuando los secretos generados por hardware se vuelven predecibles.
El debate técnico se desplazó hacia lo barato que podría resultar para la inteligencia artificial redescubrir el fallo del firmware. Haseeb Qureshi, de Dragonfly, sostuvo que unos $2 de pruebas con IA podrían haber evitado el incidente, citando ensayos donde modelos reprodujeron la vulnerabilidad en minutos. La afirmación sobre la IA es provocadora, pero discutida, porque el fallo ya era público cuando se realizaron demostraciones. Un investigador señaló que esas pruebas carecían de condiciones ciegas, métodos documentados y análisis de falsos positivos, mientras otro modelo habría encontrado el problema en 20 minutos sin acceso web.
Castle Labs afirmó que el error redujo la entropía de las claves privadas de Coldcard a 40 bits, frente a los 128 bits asociados con una semilla estándar de 12 palabras. Esa caída facilitó ataques por fuerza bruta y podría explicar la participación de atacantes. El incidente expone una falla de pruebas donde la promesa de seguridad dependía de una entropía debilitada por el firmware. Mientras la IA abarata la revisión de código, el desafío es que los fabricantes refuercen sus versiones antes de que herramientas conviertan errores ocultos en robos escalables contra direcciones inactivas.
