En estos días, la seguridad en el ecosistema de los activos digitales atraviesa una de sus pruebas de fuego más severas en lo que va del año, porque tras confirmarse un fallo histórico en el firmware del fabricante de monederos de hardware Coldcard —el cual expuso las claves privadas de miles de usuarios debido a una generación deficiente de entropía—, una segunda crisis, potencialmente más peligrosa para la comunidad en general, se ha desatado a escala masiva.
En problema que enfrentan los usuarios de hardware wallets, es la temida “ingeniería social” porque a medida que las pérdidas acumuladas por el despliegue del exploit a Coldcard rozan los 130 millones de dólares, firmas de ciberseguridad y empresas competidoras en el sector del almacenamiento están advirtiendo el peligro que se cierne sobre todos.
Y es que, estas empresas han encendido las alarmas ante un flujo sin precedentes de correos de suplantación de identidad (phishing), con sitios Web de fabricantes clonados y software malicioso diseñados para saquear a los inversores desprevenidos.
El miedo y la incertidumbre generados entre los poseedores de criptomonedas son el terreno más fértil para el fraude informático y en este sentido, la firma de ciberseguridad Proofpoint documentó en las últimas horas una sofisticada campaña dirigida a la base de usuarios de Coldcard.
A COLDCARD hardware wallet vulnerability is being exploited by threat actors.
The reported firmware flaw has led to tens of millions worth of Bitcoin stolen.
We’ve observed social engineering w/ “hardware audit” themes impersonating #COLDCARD in email-based phishing campaigns. pic.twitter.com/1KSfZW3H2N
— Threat Insight (@threatinsight) August 3, 2026
De acuerdo a lo señalado por esta empresa, el ataque inicia con correos electrónicos enviados desde direcciones que falsifican la identidad visual y el dominio del fabricante Coinkite, con un mensaje basado en ingeniería social con temas de “auditoría de hardware”.
Prácticamente, en el mensaje, se insta a los destinatarios a completar una urgente e imprevista “auditoría de hardware coordinada”, utilizando un pretexto directamente extraído de la narrativa oficial del incidente de seguridad.
El correo dirige a las víctimas a un portal Web falso que duplica con exactitud el diseño institucional de Coldcard, el cual al presionar el botón etiquetado como “Iniciar auditoría de hardware”, no solicita directamente la frase de recuperación en un primer momento, sino que desencadena la descarga de un archivo por lotes alojado en GitHub.
Este ejecutable instala de manera encubierta ScreenConnect, una aplicación legítima de administración remota, la cual una vez que está activa, permite que los atacantes obtengan el control absoluto sobre el equipo del usuario, lo que les facilita el rastreo de archivos locales en busca de copias de seguridad, desplegar ransomware o monitorear la actividad del teclado.
Para elevar el grado de efectividad, el sitio Web falso incluye un chat de atención al cliente en tiempo real, que lejos de ser administrado por un bot con respuestas automatizadas, tiene un área de soporte que es operado por ciberdelincuentes reales que guían paso a paso a la víctima durante la instalación del archivo ejecutable y la convensen de entregar sus datos más sensibles.
El impacto del incidente ha trascendido las fronteras del ecosistema de Coinkite porque fabricantes rivales como Trezor y Foundation Devices han hecho públicos comunicados de advertencia ante el incremento vertiginoso de intentos de suplantación dirigidos a sus propias carteras de clientes.
Following the Coldcard vulnerability disclosure, we’re already seeing an increase in phishing attempts.
Stay alert for scams ⚠️
• Never share your wallet backup, aka recovery seed (12/20/24 words)
• Only enter your wallet backup directly on your Trezor device during recovery…— Trezor (@Trezor) August 4, 2026
De hecho, Trezor confirmó la detección de una marea de correos apócrifos que intentan convencer a los usuarios de que sus dispositivos se encuentran en peligro inminente debido al fallo reciente, invitándolos a verificar su semilla en aplicaciones de escritorio fraudulentas.
La compañía tuvo que reiterar enfáticamente que sus equipos no utilizan la arquitectura de código afectada y recordó que una copia de seguridad jamás debe introducirse fuera del propio dispositivo de hardware.
🚨 Phishing Alert 🚨
We’ve been made aware of phishing emails impersonating Foundation following the recent Coldcard security incident.
These emails attempt to trick users into downloading malicious software or visiting fake websites.
Please remember:⁰• Never download… pic.twitter.com/5zzblHuSj2
— FOUNDATION (@FoundationHQ) August 2, 2026
Por su parte, Foundation advirtió este lunes sobre correos maliciosos que redirigen hacia descargas falsas e insistió en que ningún fabricante legítimo solicitará bajo ninguna circunstancia las 12 o 24 palabras de recuperación, ni recomendará instalar parches no firmados criptográficamente para “proteger” el monedero.
Cómo ya explicamos en un artículo anterior, el origen técnico de esta crisis se remonta a una versión de firmware distribuida en marzo de 2021, que debido a un error de compilación, el dispositivo extraía las semillas de un sistema de respaldo por software en lugar de utilizar el generador de números aleatorios por hardware (TRNG, «por sus siglas en inglés»).
El resultado fue una clave criptográfica de aproximadamente 72 bits (e incluso menos) de entropía, una cifra astronómicamente inferior a los estándares requeridos y que volvió las frases semilla predecibles mediante técnicas de fuerza bruta.
now NUMEROUS different attackers exploiting the Coldcard vulnerability. we estimate at least 15 different attackers now
we continue to receive victim reports and give them info to report to authorities
and those reports help us identify new attacks and label attackers https://t.co/6ybBTqJPb6
— Alex Thorn (@intangiblecoins) August 4, 2026
De acuerdo con las investigaciones de Alex Thorn, jefe de análisis en Galaxy Research, que publicó en un hilo de la red social X, la vulnerabilidad está siendo explotada de forma activa por al menos 15 atacantes independientes. Galaxy ha rastreado tres oleadas confirmadas de barridos de fondos desde el 30 de julio, sumando 1.596 BTC sustraídos.
Al sumar una probable cuarta oleada detectada a través de patrones de transacciones continuas en la mempool de Bitcoin, el monto total robado supera los 1.816 BTC, equivalente a cerca de 130 millones de dólares.
El pánico desencadenado por la divulgación del fallo provoco movimientos masivos en la cadena de bloques de Bitcoin. Según métricas provistas por CryptoQuant, el volumen de transferencias correspondientes a pequeñas direcciones (menos de 1 BTC) alcanzó los 39.600 BTC en un solo día, una cifra de reorganización defensiva no registrada desde las semanas posteriores al colapso del intercambio FTX en noviembre de 2022.
No obstante, el precio de Bitcoin se ha mantenido en un rango relativamente estable entre los 62.700 dólares y 64.200 dólares, señal inequívoca de que los usuarios buscaron reubicar sus activos en custodia segura en lugar de liquidarlos en el mercado abierto.
— Nick Percoco (@c7five) August 2, 2026
Asimismo, el director de seguridad de Kraken, Nick Percoco, en una publicación también en la red social X, calificó el evento como un hito crítico que obliga a reevaluar los protocolos de auditoría en toda la industria de los hardware wallets.
A pesar de que dispositivos como las versiones Mk4, Mk5 y Q de Coldcard integran chips de elemento seguro con certificaciones bancarias, la falta de una verificación independiente sobre la ruta exacta del código ejecutado permitió que el fallo pasara desapercibido durante cinco años.
Percoco ha propuesto la implementación obligatoria de auditorías públicas de la fuente de entropía por parte de laboratorios externos para cada versión específica de firmware, alineando los estándares criptográficos de la industria con las regulaciones de los terminales de pago tradicionales.
Para el usuario común, la regla de oro del almacenamiento en frío sigue intacta frente a cualquier sofisticación tecnológica o táctica de manipulación psicológica porque las frases de recuperación existen única y exclusivamente para ser introducidas de forma física en la pantalla de la hardware wallet.
Cualquier solicitud Web, actualización por correo o asistente de chat que pida interactuar con la semilla es, sin excepción, claramente un intento de robo y debe ser reportado a las autoridades.