Los pequeños poseedores de Bitcoin movieron monedas el 31 de julio a un ritmo no visto desde el colapso de FTX, según CryptoQuant, mientras se difundía la noticia de que las carteras de hardware Coldcard habían estado generando claves adivinables durante cinco años.

Las transferencias de menos de 1 BTC sumaron 39.600 BTC (aproximadamente 2.500 millones de dólares) ese día, tuiteó Julio Moreno, Jefe de Investigación de la firma. La última cifra comparable fue de 39.900 BTC el 16 de noviembre de 2022, días después de la quiebra de FTX. Las direcciones activas diarias aumentaron de 645.000 el 30 de julio a casi un millón el 31 de julio, el nivel más alto desde diciembre de 2024, concentrándose el aumento en las direcciones de envío en lugar de las de recepción.

Parte de ello fue a exchanges. Los depósitos de transferencias de menos de 10 BTC alcanzaron los 7.300 BTC (459 millones de dólares) el 31 de julio, el nivel más alto desde el 6 de febrero, según CryptoQuant. Moreno vinculó el movimiento a la vulneración de Coldcard, afirmando que la gente parecía estar moviendo sus tenencias "buscando seguridad", aunque señaló que la conexión no era segura.

Cabe destacar que el precio de Bitcoin apenas se movió en medio de la ola de depósitos en exchanges, lo que sugiere que los usuarios estaban moviendo sus monedas para asegurarlas en lugar de venderlas. Bitcoin cotiza actualmente a 62.724 dólares, un 0,7% menos en el último día, según datos de CoinGecko.

El exploit de ColdCard

El fallo de Coldcard se remonta a un error de compilación de firmware de marzo de 2021 que dejaba las frases semilla extraídas de un grupo demasiado pequeño. Galaxy Research registró tres oleadas de robos hasta el sábado, sumando un total de 1.367 BTC en 4.585 direcciones, lo que representa un aumento de 38 millones de dólares cuando se reveló el fallo y 70 millones de dólares cuando el fundador de Binance, Changpeng Zhao, advirtió a los holders.

Una cuarta oleada está probablemente en marcha. Alex Thorn de Galaxy Research señaló barridos en 15 bloques consecutivos el lunes, funcionando a aproximadamente 45 veces la tasa normal, y después de corregir un conjunto que había incluido erróneamente direcciones multifirma, la oleada se situó en 709 direcciones y 448,73 BTC (28 millones de dólares). Esto elevaría el total acumulado a unos 1.816 BTC, cerca de 114 millones de dólares. Thorn añadió una advertencia de que ninguna víctima ha confirmado aún la cuarta oleada, que se basa en la coincidencia de patrones.

Algunos barridos aún estaban sin confirmar en la mempool y habían optado por la función replace-by-fee, dijo, lo que significa que los holders que actúen rápidamente y paguen una tarifa alta podrían superar la oferta del atacante. Ninguna de las direcciones afectadas en las tres primeras oleadas era multifirma.

'Una llamada de atención'

Nick Percoco, director de seguridad de Kraken, calificó el incidente como "una llamada de atención para toda la industria de las carteras de hardware". Señaló que los modelos Mk4, Mk5 y Q de ColdCard se envían con elementos seguros certificados, y sus semillas aún se generaban con aproximadamente 72 bits, porque la certificación cubría el componente, pero nadie verificó qué ruta de código se ejecutaba realmente.

Percoco quiere una validación de laboratorio independiente de las fuentes de entropía, vinculada a versiones de firmware específicas y listada en un registro público, como ya lo requieren los terminales de pago. Añadió que el hotfix de Coinkite ahora falla la compilación a menos que se vincule el generador correcto, un control que, según dijo, tardó unas 48 horas en escribirse una vez que la empresa supo qué buscar.