La actividad on-chain de Bitcoin ha alcanzado su nivel más alto de 2026, ya que los investigadores han vinculado el aumento al exploit de la billetera Coldcard que está en curso, advirtiendo que picos similares han coincidido históricamente con puntos de inflexión del mercado local.
K33 Research indicó que casi 890.000 BTC se han movido on-chain en los últimos siete días, la oferta activa de siete días más alta registrada este año, incluso mientras Bitcoin ha continuado operando dentro de uno de sus rangos de precios más estrechos en los últimos años.
La nota de investigación llega mientras los investigadores continúan expandiendo el alcance de la brecha de la billetera de hardware Coldcard. Galaxy Research dijo el martes que al menos 15 atacantes diferentes han explotado la vulnerabilidad, mientras que su última estimación confirmada asciende a 1.596 BTC robados de aproximadamente 7.300 direcciones a través de tres oleadas de ataque verificadas. La firma agregó que las pérdidas podrían alcanzar alrededor de 2.055 BTC, o aproximadamente $130 millones, si se confirma una cuarta oleada sospechosa a través de informes adicionales de víctimas.
Aunque observaciones anteriores de la blockchain sugerían pérdidas mayores, Galaxy dijo que refinó sus estimaciones después de separar los informes de víctimas confirmados de la actividad on-chain sospechosa. El equipo de investigación también indicó que alrededor del 90% del Bitcoin robado no se ha movido desde los ataques, lo que da a los investigadores tiempo adicional para monitorear los fondos mientras coordinan con exchanges de criptomonedas, firmas de seguridad blockchain y las fuerzas del orden de EE. UU.
A pesar de la acción del precio relativamente tranquila, el Jefe de Investigación de K33, Vetle Lunde, dijo que el ritmo de las transferencias de Bitcoin se ha acelerado bruscamente.
Según el informe, Bitcoin ha registrado su rango de trading más estrecho de 30 días entre máximos y mínimos desde 2023, mientras que la volatilidad realizada ha caído por debajo de la del Nasdaq 100. Aun así, la oferta activa subió rápidamente a medida que los usuarios afectados movieron monedas tras el incidente de Coldcard.
Lunde dijo que el aumento fue “muy probablemente impulsado por los ataques a Coldcard”, añadiendo que el incidente “probablemente ha intensificado las preocupaciones sobre otras billeteras de hardware, incluyendo Ledger y Trezor, lo que ha llevado a algunos propietarios a considerar custodios centralizados o configuraciones multifirma.”
Un informe separado cubierto por crypto.news también señaló cambios en el comportamiento de custodia. Jonathan Brockmeier, Director de Cumplimiento de OKX, dijo a la publicación que el exchange ha experimentado entradas récord tras el incidente de Coldcard, ya que algunos usuarios trasladaron activos de billeteras de hardware a custodia centralizada.
“Estamos viendo niveles récord de entradas a los exchanges centralizados después de Coldcard”, dijo Brockmeier. “Es interesante, es una especie de la otra cara de FTX. Ocurre FTX, y todo el mundo mueve su dinero a autocustodia, y ahora está volviendo”.
Dijo que los exchanges pueden proporcionar equipos de seguridad dedicados y sistemas de monitoreo automatizados para los usuarios que prefieren la custodia gestionada, a la vez que agregó que la autocustodia sigue siendo una opción para los clientes dispuestos a gestionar su propia seguridad.
Más allá del exploit inmediato, K33 afirmó que ráfagas similares de actividad on-chain han aparecido repetidamente alrededor de importantes reversiones del mercado.
El informe encontró que los períodos en que la oferta activa de siete días entró en el 10% superior de las observaciones en comparación con su historial móvil de 365 días se alinearon con picos y valles locales durante el mercado bajista de 2022, los mercados alcistas de 2024 y 2025, y el mercado bajista de 2026.
“La intuición detrás de esta observación es clara: el pánico es visible on-chain”, escribió Lunde.
Explicó que los mercados en caída a menudo empujan a los tenedores a mover monedas a los exchanges para limitar pérdidas adicionales, mientras que el aumento de precios fomenta tanto la toma de ganancias como las compras impulsadas por el miedo a perderse algo (FOMO). El informe también señaló que dos de los mayores picos de oferta activa este año ocurrieron durante las liquidaciones de febrero y junio, mientras que un aumento separado a finales de abril probablemente estuvo más relacionado con rotaciones de direcciones rutinarias que con transferencias de exchange.
K33 no argumentó que la actividad elevada por sí sola prediga la dirección futura del precio, pero dijo que la relación histórica hace que el comportamiento on-chain actual valga la pena ser monitoreado mientras la investigación de Coldcard continúa.
El ataque se originó por una falla en el firmware de Coldcard que Coinkite reveló después de descubrir que los dispositivos afectados generaban semillas de billetera con un generador de números pseudoaleatorios determinista en lugar del generador de números aleatorios verdadero respaldado por hardware, que era el previsto.
Según la revisión técnica de Coinkite, la vulnerabilidad se introdujo en marzo de 2021 mientras los ingenieros integraban una nueva biblioteca criptográfica en el firmware de la billetera. Aunque el generador de números aleatorios de hardware seguía funcionando en otras partes del software, la creación de billeteras se basó erróneamente en el generador determinista de MicroPython, lo que redujo la entropía utilizada para crear nuevas frases semilla.
El equipo de ingeniería y seguridad de Bitcoin de Block llegó de forma independiente a la misma conclusión después de revisar el firmware. La compañía dijo que los dispositivos vulnerables recurrieron al generador determinista de MicroPython durante la creación de la billetera en lugar del generador de números aleatorios de hardware STM32, aunque señaló que no había completado las pruebas en todos los modelos afectados antes de publicar sus hallazgos porque los robos activos ya estaban en curso.
Coinkite estima que las billeteras Mk2 y Mk3 afectadas pueden proporcionar alrededor de 40 bits de entropía efectiva, mientras que los dispositivos vulnerables Mk4, Mk5 y Coldcard Q pueden generar aproximadamente 72 bits, muy por debajo del nivel de seguridad previsto de 128 bits.
Las actualizaciones de firmware de emergencia ya están disponibles para todas las líneas de productos afectadas. Sin embargo, Coinkite dijo que la instalación del firmware actualizado protege solo las billeteras creadas después de la corrección. A los propietarios cuyas frases semilla se generaron con firmware vulnerable se les ha indicado que creen billeteras completamente nuevas, verifiquen la dirección de destino con una pequeña transacción de prueba y muevan su Bitcoin solo después de confirmar la transferencia.
El incidente también ha provocado una nueva discusión sobre cómo se debe verificar el firmware de las billeteras de hardware antes de su lanzamiento.
Escribiendo en X, el Director de Seguridad de Kraken, Nick Percoco, argumentó que los fabricantes no deberían ser los únicos responsables de validar cómo el firmware de producción genera las frases semilla de las billeteras. Señaló los estándares NIST SP 800-90B y BSI AIS-31 de Alemania, diciendo que la verificación de extremo a extremo comparable no se aplica rutinariamente al firmware de las billeteras de hardware a pesar de la importancia de la generación segura de semillas.
El CTO Emérito de Ripple, David Schwartz, también comentó sobre el incidente, describiéndolo como un ejemplo de riesgo atípico donde una falla técnica poco común puede producir pérdidas mucho mayores de lo que los usuarios esperan. Schwartz comparó la brecha con el colapso de MF Global en 2011, argumentando que, si bien la autocustodia elimina la dependencia de los intermediarios financieros, los usuarios todavía dependen de que el hardware y el firmware funcionen correctamente.
También señaló que, a diferencia de los clientes de instituciones financieras reguladas, los propietarios afectados de Coldcard actualmente no tienen un mecanismo de recuperación comparable después de que los fondos son robados a través de semillas de billetera comprometidas.
