ZachXBT se desmarca del rastreo del hackeo de Coldcard por 88 M$ ante la falta de apoyo

El investigador de blockchain ZachXBT afirmó que no tiene intención de rastrear el ataque a Coldcard valorado en 88,6 millones de dólares, y señaló que en años anteriores apenas ha recibido apoyo de la comunidad de bitcoin por su trabajo. Puntos clave - ZachXBT rechaza seguir la pista del caso Coldcard y apunta a la escasa ayuda de los tenedores de bitcoin. - La brecha en Coldcard, de Coinkite, ha sustraído 1.367 BTC desde el 30 de julio de 2026, procedentes de 4.585 direcciones. - Galaxy Research continúa monitorizando los fondos mientras crece la polémica por la política de retención de correos de Coinkite. ZachXBT dice que tiene "menos obligación" de ayudar El analista onchain, conocido por destapar a responsables de algunos de los mayores robos del sector, publicó en X que no está siguiendo ni prevé trazar la actividad vinculada al incidente de Coldcard. Aseguró que prioriza ecosistemas que valoran su trabajo y añadió que los maximalistas de Bitcoin no han sido donantes ni respaldos de sus investigaciones, por lo que siente menos obligación de intervenir. El comentario llegó cuando el hackeo entraba en su quinto día y el total robado seguía aumentando. ZachXBT ha trabajado en el pasado de forma pro bono en casos relevantes, y su mensaje deja entrever una distancia notable entre la buena voluntad que percibe por parte de la comunidad y el esfuerzo que se le exige cuando hay problemas. Así avanza la brecha de Coldcard La explotación se atribuye a un fallo de firmware en las carteras hardware del fabricante canadiense Coinkite. El defecto afectaba a dispositivos Coldcard Mk3 con versiones 4.0.1 a 4.1.9: en determinados casos, la generación de entropía de la semilla dependía de un generador aleatorio por software en lugar del chip dedicado del dispositivo, lo que hacía que algunas semillas pudieran ser adivinables. La primera oleada se produjo el 30 de julio, cuando se drenaron cerca de 594 BTC (unos 38 millones de dólares entonces) desde casi 500 direcciones inactivas en menos de 30 minutos. Coinkite publicó un firmware corregido en un plazo de dos días, pero el impacto continuó extendiéndose. A 2 de agosto, Galaxy Research había elevado el acumulado a 1.367 BTC (88,6 millones de dólares), extraídos de 4.585 direcciones a lo largo de tres oleadas distintas. La velocidad y precisión de los movimientos alimentaron la hipótesis de que el atacante utilizó herramientas automatizadas, posiblemente con apoyo de IA, para identificar y vaciar direcciones vulnerables en cuestión de minutos en cada barrido. El caso siguió escalando al mismo tiempo que aumentaban los depósitos en exchanges procedentes de los fondos robados y volvían a moverse BTC antiguos, previamente inactivos, asociados al incidente. La retención de datos aviva las críticas La gestión del incidente por parte de Coinkite también se ha convertido en foco de controversia. La empresa envió un correo de alerta a todas las direcciones que pudo alcanzar a partir de registros de su tienda y de su newsletter, algunos datados en 2019. El envío chocó con declaraciones previas del CEO, Rodolfo Novak, quien había asegurado que Coinkite borraba los datos de clientes 90 días después de la compra y ofrecía opciones de compra anónimas. Posteriormente, Coinkite reconoció que conserva indefinidamente las direcciones de correo de compra y admitió que no dispone de una política de eliminación para esos datos, lo que provocó una nueva oleada de críticas, ya separada del hackeo en sí. Novak defendió el historial de seguridad de la compañía y subrayó que competidores sufren brechas con regularidad, además de insistir en que Coinkite se toma el asunto con extrema seriedad. Aun así, el episodio ya empieza a erosionar la confianza en la autocustodia y podría llevar a inversores más prudentes a optar por ETFs en lugar de gestionar sus propias claves. El impacto también se ha trasladado al ruido onchain. Una oferta descarada de blanqueo dirigida al hacker se publicó directamente en la blockchain de Bitcoin, convirtiendo el caso en un espectáculo público seguido en tiempo real a través de redes sociales y datos onchain. Con figuras como ZachXBT apartándose, el peso del rastreo de los 1.367 BTC recae aún más en firmas como Galaxy Research, que está publicando actualizaciones oleada a oleada según evoluciona la actividad de las carteras del atacante. Además, han aparecido informes que sitúan el fallo de entropía de Coldcard Mk3 en una compilación de firmware de marzo de 2021. De confirmarse, cualquier semilla generada con esa versión durante más de cuatro años podría seguir expuesta hasta que los usuarios roten a una semilla nueva utilizando el firmware parcheado.