El robo de Bitcoin de las carteras de hardware Coldcard comprometidas aún está en curso, y los investigadores rastrean ahora pérdidas de aproximadamente $88 millones y advierten que cada dispositivo vulnerable será finalmente vaciado.

Galaxy Research dijo el sábado que ha identificado una tercera oleada de robos, en la que se drenaron 207.73 BTC, elevando su recuento observado a aproximadamente 1,367 BTC —alrededor de $88.6 millones— en 4,585 direcciones. La firma calificó el exploit como continuo e instó a cualquier persona que tenga fondos de firma única en una Coldcard a moverlos de inmediato. Galaxy dijo que ha señalado aproximadamente 600 direcciones de atacantes sospechosos a investigadores federales, firmas de cumplimiento e investigadores cibernéticos de la industria, agradeciendo a las víctimas que compartieron detalles de transacciones por ayudar a mapear los patrones en cadena.

“Continúo investigando y añadiendo nuevas direcciones de víctimas y atacantes de Coldcard a nuestra base de datos de investigación”, publicó en X Alex Thorn, jefe de investigación de Galaxy. “El ataque está en curso; mueva sus fondos de las direcciones generadas por Coldcard inmediatamente si aún no lo ha hecho.”

La falla, como informó anteriormente Decrypt, se debe a un error en la compilación del firmware de marzo de 2021 en los dispositivos de Coinkite que provocó que las frases semilla se generaran con muy poca aleatoriedad, dejando las claves privadas adivinables. Thorn escribió que los barridos parecen deliberados y programáticos, probablemente orquestados con un modelo de lenguaje grande (LLM), y advirtió que cada dirección Coldcard de firma única creada después de esa actualización de 2021 será eventualmente vaciada, diciendo que es solo cuestión de tiempo.

Thorn señaló que las monedas robadas habían permanecido intactas durante años antes de ser tomadas —un período de inactividad promedio de 3.18 años— lo que subraya que las víctimas eran holders a largo plazo. Los fondos de las tres oleadas documentadas permanecen estacionados en direcciones de atacantes y no se han movido.

Las consecuencias han provocado una respuesta de pánico por parte de los usuarios afectados, con expertos en seguridad instando a la precaución al mover fondos a nuevas direcciones. Muchos de los usuarios afectados se apresuran a mover Bitcoin de la autocustodia de vuelta a los exchanges de criptomonedas centralizados, como Coinbase o Binance, o a direcciones recién generadas, una inversión del ethos habitual de la industria de "no tus claves, no tus monedas".

Para algunos, las advertencias llegaron demasiado tarde. El entrenador canadiense Jonathan Goodman dijo en una publicación en X que 18.25 BTC, valorados en aproximadamente $1.6 millones canadienses, fueron barridos de sus carteras en un lapso de siete minutos el 29 de julio, a pesar de que sus claves estaban en una caja de seguridad que nunca tocó internet. “Quizás lo más difícil de todo esto es que hice todo correctamente”, escribió, añadiendo que está presentando informes a la policía y a la Comisión de Valores de Ontario.