-
Galaxy ya rastrea 1.367 bitcoin robados desde 4.585 wallets.
-
El sentimiento cayó al peor nivel registrado por Santiment desde 2016.
El hackeo a las hardware wallets Coldcard modificó el comportamiento de los usuarios de Bitcoin. Mientras el ataque continuó sumando nuevas olas de robos, los datos on-chain mostraron un aumento en la migración de fondos, en el número de transferencias y en las comisiones pagadas para operar.
La reacción, sin embargo, no se trasladó con la misma intensidad al mercado. Al momento de la publicación de este artículo, bitcoin (BTC) registra una caída semanal del 3,6% y se negocia cerca de los 62.600 dólares, es decir, dentro del rango en el que se viene moviendo durante los últimos 30 días.
El principal efecto apareció en la forma en que los usuarios administraron sus fondos ante el riesgo de que las semillas generadas con dispositivos vulnerables pudieran ser comprometidas.
La primera señal se registró las horas posteriores al ataque, más precisamente el 31 de julio. Según datos de CryptoQuant, ese día se movilizaron 39.600 BTC mediante transferencias inferiores a 1 bitcoin, el mayor volumen diario de este tipo desde el colapso del exchange FTX en noviembre de 2022.
El indicador no permite comprobar que la totalidad de esos movimientos estuviera relacionada con el ataque a Coldcard. Pero, la coincidencia temporal con las alertas de seguridad y el predominio de operaciones inferiores a 1 BTC son compatibles con una migración preventiva realizada principalmente por usuarios individuales. En ese marco, Julio Moreno, jefe de investigación de la firma, manifestó: “Me alegra ver que la gente parece estar tomando medidas”.
El temor se concentró en la autocustodia
La reacción también quedó reflejada en las conversaciones de redes sociales. Como informó CriptoNoticias, la firma Santiment registró el 31 de julio el peor balance entre comentarios positivos y negativos sobre bitcoin desde que comenzó su seguimiento en 2016: apenas 0,58 publicaciones alcistas por cada comentario bajista.
Para la firma, el nivel de pesimismo responde a que el incidente afectó hardware wallets, dispositivos utilizados para mantener los fondos fuera de exchanges y otros custodios. La preocupación no surgió de una falla en Bitcoin, sino de una vulnerabilidad en una herramienta considerada uno de los principales recursos para la autocustodia.
Más transferencias y mayores comisiones
La migración preventiva también quedó reflejada en las métricas generales de la red. La firma de análisis on-chain Glassnode registró un repunte en el número diario de transferencias, que pasó de niveles cercanos a 500.000 o 600.000 operaciones a aproximadamente 750.000 al comienzo de agosto.
El movimiento no alcanzó los máximos superiores al millón de transferencias observados en otros períodos, pero sí marcó un cambio visible frente a la actividad de las jornadas anteriores.
El aumento de la demanda por espacio en los bloques también se reflejó en las comisiones. Los usuarios pagaron en conjunto alrededor de 363.000 dólares en tarifas el 31 de julio, frente a valores cercanos a 180.000 o 200.000 dólares durante varias de las jornadas previas.
Las comisiones totales prácticamente se duplicaron, aunque permanecieron lejos de los máximos observados durante episodios de congestión más intensa, como el 6 de mayo 2026.
El incremento de las transferencias y las tarifas confirma que el ataque produjo un efecto medible en la actividad on-chain.
Los datos on-chain muestran que la principal huella del ataque no solo estuvo en el funcionamiento de Bitcoin, sino en el comportamiento de quienes lo utilizan y en la revisión urgente de sus prácticas de autocustodia.
El ataque siguió ampliándose
El origen del incidente fue una falla incorporada al firmware de Coldcard en marzo de 2021, que reducía la entropía utilizada para generar las frases semilla. Esa vulnerabilidad permitió a los atacantes reconstruir de forma automatizada determinadas claves privadas y vaciar las wallets afectadas.
En ese contexto, actualizar el firmware no es suficiente para quienes generaron una semilla comprometida. Coinkite recomienda crear una nueva frase de recuperación en un dispositivo actualizado o no afectado y migrar allí los fondos lo antes posible.
Mientras tanto, Galaxy Research, la división de investigación de mercados de activos digitales de Galaxy, elevó el alcance del ataque a 1.367,05 BTC, equivalentes a unos 88,6 millones de dólares, sustraídos de 4.585 direcciones en tres olas.
La primera fase fue detectada el 30 de julio con 594 BTC robados. La segunda elevó el total a 1.158,81 BTC y la tercera añadió otros 207,7 BTC provenientes de 1.912 direcciones.
Esta última presentó cambios en el método utilizado para mover los fondos. Según Galaxy, esas diferencias podrían indicar que el mismo atacante modificó su herramienta para dificultar el seguimiento o que un segundo actor comenzó a explotar las semillas vulnerables.
El 3 de agosto, analistas de la firma advirtieron que probablemente estaba ocurriendo una cuarta ola organizada. El patrón preliminar incluía 218 transacciones, 462 posibles direcciones víctimas y cerca de 389 BTC adicionales.
Parte de esas operaciones permanecía en el mempool a la espera de confirmación. Galaxy indicó que algunas transacciones utilizaban Replace-by-Fee (RBF), una función que permite reemplazar una operación pendiente por otra con una comisión superior. Por ese motivo, recomendó a los usuarios que todavía conservan fondos en direcciones potencialmente afectadas intentar moverlos con tarifas elevadas para adelantarse al atacante.
La firma aclaró que la cuarta ola todavía no estaba confirmada de forma definitiva. Sin embargo, la frecuencia de los movimientos era unas 45 veces superior a la observada en un período de control previo al incidente y coincidía con el perfil de las direcciones vulnerables.
