Un fallo en Coldcard ligado a 38 millones de dólares reabre el debate sobre la seguridad de la autocustodia

Uno de los grandes argumentos de venta de Bitcoin siempre ha sido la posibilidad de prescindir de bancos y plataformas para proteger el dinero. Esa promesa ha recibido uno de sus golpes más duros tras conocerse una vulnerabilidad en Coldcard, el monedero de hardware del fabricante Coinkite, que permitió a atacantes recrear frases de recuperación y robar bitcoin de carteras que los usuarios creían bajo autocustodia segura. Coinkite ya ha corregido el fallo, pero las consecuencias siguen. Los usuarios afectados deben crear carteras completamente nuevas y transferir sus fondos: actualizar el firmware por sí solo no elimina el riesgo. En una carta abierta reciente, el CEO de Coinkite, NVK, lanzó un aviso explícito: "Si generaste una semilla con una cartera Coldcard, mueve tus fondos ahora, siguiendo nuestras mejores prácticas actualizadas, antes de seguir leyendo". Subrayó que la corrección protege las nuevas semillas a partir de ahora, pero no arregla las semillas generadas con el firmware vulnerable. El episodio pone de relieve una tensión creciente a medida que Bitcoin entra en el circuito financiero más convencional: la autocustodia sigue siendo una seña de identidad del sector, pero la carga técnica de proteger claves privadas puede empujar a muchos inversores minoristas hacia custodios profesionales, exchanges y productos regulados. Voces destacadas dentro del ecosistema lo califican como uno de los fallos más dañinos para la autocustodia. "Es el peor golpe en la historia de bitcoin para los bitcoiners más expertos y 'bien asegurados'", afirmó el comentarista Guy Swann. "No es un exchange hackeado por claves calientes. Son miles de personas a las que les han recreado sus claves privadas personales por debajo". Intercambiar un riesgo por otro Durante años, los defensores de Bitcoin han sostenido que poseer las claves privadas elimina el riesgo de contraparte de los exchanges centralizados, una lección reforzada por colapsos como FTX. Ahora, analistas señalan que muchos usuarios han cambiado un tipo de riesgo por otro. "El espacio de hardware para autocustodia es un desastre a estas alturas y genera más mala reputación para la industria que cualquier otra cosa", sostuvo Lorenzo Valente, director de investigación de activos digitales en ARK Invest. "En la práctica, los consumidores han sustituido el riesgo de contraparte por riesgo de software, riesgo de hardware, riesgo de cadena de suministro, riesgo de phishing, riesgo en las copias de seguridad y la posibilidad de perderlo todo por un solo error", dijo. "Sinceramente, hoy estás mejor repartiendo fondos entre varias bolsas cotizadas o ETFs". La vulnerabilidad de Coldcard ilustra el problema. Investigadores detectaron que ciertas versiones del firmware generaban semillas con mucha menos aleatoriedad de la prevista, lo que las hacía vulnerables a ataques de fuerza bruta. Incluso la solución recomendada recibió críticas. "No puedes pedirle a la gente que tire dados para estar segura con su autocustodia", dijo Nick Neuman, CEO de Casa, en referencia a la guía para complementar la aleatoriedad generada por el dispositivo con tiradas físicas de dados. "Para el 99% de la gente es inviable". La seguridad ya no es pasiva El incidente también refleja la rapidez con la que evolucionan las amenazas de ciberseguridad, mientras la inteligencia artificial abarata el descubrimiento de vulnerabilidades de software. "La idea de que tu bitcoin descansa tranquilo en algún lugar secreto mientras disfrutas de la vida sin preocuparte no es realista ahora mismo", escribió en X el desarrollador de Taproot Udi Wertheimer. En lugar de tratar la seguridad como un ajuste que se configura una vez y se olvida, defendió que los tenedores de bitcoin deben vigilar continuamente nuevas amenazas o apoyarse en custodios profesionales con equipos dedicados. "Si no quieres preocuparte, tienes que pagarle a alguien para que se preocupe", resumió. El caso Coldcard encaja además en una tendencia más amplia en los ataques cripto. Según la firma de seguridad blockchain Blockaid, la mayor parte de las pérdidas en la primera mitad de 2026 no provino de hackeos a contratos inteligentes, sino de claves comprometidas y fallos de seguridad operativa. "Coldcard encaja en ese patrón, con la exposición originada en la fase de generación de claves", explicó Ido Ben-Natan, cofundador y CEO de Blockaid. A su juicio, el episodio evidencia hasta qué punto los usuarios dependen de sistemas de seguridad con los que nunca interactúan de forma directa. "La seguridad de una cartera de hardware, al final, depende del firmware y de sistemas que el usuario utiliza pero no ve", dijo. "Eso implica que las salvaguardas deben construirse aguas arriba, antes de que el usuario tome el control de sus activos". Los fabricantes de monederos de hardware sostienen que el caso subraya la importancia de la ingeniería segura, más que un defecto inherente de la autocustodia. "Este incidente es un buen ejemplo de por qué el firmware de código abierto no debería equipararse automáticamente a una mayor seguridad", afirmó Andrew Lazutkin, director de tecnología de Tangem. "La seguridad proviene de una arquitectura sólida, pruebas exhaustivas y verificación independiente". Impulso para el bitcoin institucional La vulnerabilidad también podría reforzar el argumento a favor de la custodia institucional en un momento en que los ETFs spot de bitcoin están atrayendo a inversores generalistas. David Lawrence, cofundador de Amicus, señaló que incidentes como el de Coldcard probablemente empujarán a nuevos inversores hacia productos regulados como el iShares Bitcoin Trust (IBIT) de BlackRock, en lugar de gestionar claves privadas por su cuenta. "Esto es otra victoria para el 'Big Bitcoin'", dijo Lawrence, y añadió que, tras episodios como este, quienes quieran exposición a bitcoin pueden concluir: "Estoy más seguro si simplemente compro IBIT". A su entender, el incidente podría marcar un punto de inflexión para uno de los ideales más antiguos de Bitcoin. "Esto hace muchísimo daño a quienes creen que 8.000 millones de personas mantendrán su bitcoin en almacenamiento en frío en el futuro", afirmó. "Ese sueño se acabó. Se terminó".