El atacante detrás de la tercera ola de robos de las carteras de hardware Coldcard ha movido 97,09 BTC, aproximadamente el 45% del botín de esa ola y alrededor de 7,7 millones de dólares a los precios del lunes, según Galaxy Research.
La primera salida se produjo el 2 de septiembre, cuando alrededor de 20,5 BTC de la bóveda más grande pasaron por THORChain y salieron como Ethereum. Las monedas gastadas el domingo por la noche entraron en rondas de CoinJoin, una técnica de privacidad de Bitcoin que agrupa transacciones de múltiples usuarios para romper el rastro entre entradas y salidas. Solo 20,56 BTC llegaron realmente a Ethereum. Otros 57,24 BTC permanecen sin gastar como cambio de CoinJoin en una sola dirección, y Galaxy afirma que su rastro termina en aproximadamente 19 BTC más.
El explotador de la 'Ola 3' de Coldcard sigue moviendo fondos
En la ola 3, el explotador creó 293 bóvedas multifirma 2 de 2 para las monedas de cada víctima.
Los primeros movimientos el 2/9 enviaron monedas a través de THORChain a Ethereum.
Los movimientos de esta noche se dirigen a rondas de CoinJoin. pic.twitter.com/H7HIpcI7ah
— Galaxy Research (@glxyresearch) September 7, 2026
Las bóvedas son una construcción propia del atacante. Galaxy dijo que el operador construyó 293 direcciones multifirma de dos de dos y las ha estado trabajando en orden de tamaño. Once están ahora vacías. Las siguientes diez contienen 30,81 BTC entre ellas, y las 233 más pequeñas contienen 33,77 BTC.
Los robos se remontan a un error de firmware que Coinkite introdujo en marzo de 2021, el cual desvió la generación de semillas del chip de hardware de números aleatorios del dispositivo a un sustituto de software, reduciendo la fuerza de la clave de 128 bits de entropía a tan solo 40. Esto permitió a los atacantes reconstruir las claves privadas fuera de línea y vaciar direcciones de firma única sin tocar nunca el hardware. Los vaciados comenzaron el 30 de julio.
Coinkite ha revisado el firmware, ahora en Mk4/Mk5 5.6.2 y Q 1.5.2Q, requiriendo que los propietarios proporcionen su propia aleatoriedad a través de pulsaciones de teclas, tiradas de dados o lanzamientos de moneda. Una actualización aún no puede reparar una semilla generada bajo la versión defectuosa, y cualquier persona cuya cartera se haya creado con el firmware afectado tiene que generar una nueva semilla y mover sus monedas a ella. El director ejecutivo de Coinkite, Rodolfo Novak, se disculpó en una carta abierta el 31 de julio, escribiendo que la compañía tendría que "recuperar la confianza de nuestros usuarios". Un post-mortem técnico completo aún está en preparación.
El hilo del lunes también señaló una bóveda previamente desconocida alimentada por 58 direcciones. Galaxy marca su causa como abierta, pero cree que es otra víctima de Coldcard, lo que elevaría su total publicado para el exploit a unos 1.806 BTC, o 143,9 millones de dólares. Galaxy dijo en agosto que también estaba registrando una cuarta ola no confirmada de 638,5 BTC, lo que llevaría el total más allá de los 2.400, y no había registrado ningún vaciado por parte de los atacantes desde el 6 de agosto. En todas las olas, el 82% de las monedas permanecen donde los atacantes las colocaron por primera vez.
ETH
BTC