-
Actualizar el equipo no basta: es obligatorio generar una nueva semilla.
-
Las wallets creadas usando dados físicos para la entropía no corren riesgo por esta falla.
El fabricante de monederos de hardware Coinkite lanzó este 31 de julio de 2026 parches de emergencia para corregir una vulnerabilidad crítica en el firmware de sus dispositivos Coldcard.
La medida busca impedir la propagación de daños tras la sustracción de al menos 594 bitcoin (BTC) —con estimaciones de investigadores de Block que elevan la cifra a 1.082 BTC— durante ataques coordinados registrados ayer, tal como reportó CriptoNoticias esta mañana.
Según el comunicado oficial de la empresa, el problema radicó en un error de integración originado durante una actualización de código en marzo de 2021.
Al migrar las operaciones de curva elíptica a la biblioteca MicroPython, un fallo de compilación provocó que el sistema utilizara un software determinista en lugar del generador de números aleatorios por hardware (TRNG) de los equipos. Esta reducción severa de la entropía permitió a los atacantes reproducir la generación de claves fuera de línea.
Para parchear la brecha (o, al menos, eso asegura la empresa), las versiones corregidas de firmware ya se encuentran disponibles para su descarga: la versión 4.2.0 para el modelo Mk3, la 5.6.0 para los Mk4 y Mk5, y la 1.5.0Q para el modelo Q.
Coinkite advirtió categóricamente que instalar la actualización no repara ni asegura las wallets previamente creadas con el código vulnerable.
Para proteger las claves privadas de Bitcoin, es imprescindible que los usuarios actualicen el firmware y, posteriormente, generen una semilla de recuperación completamente nueva en el equipo antes de mover sus fondos.
Como precaución adicional para la migración, la compañía aconseja enviar una transacción de prueba con un monto mínimo hacia la nueva dirección antes de transferir el saldo total.
Por otro lado, las carteras que fueron inicializadas añadiendo entropía manual —mediante 50 o más lanzamientos de dados físicos— no corren peligro por este defecto y no requieren migración urgente.
Lo mismo aplica para otros productos de la marca como TAPSIGNER, OPENDIME y SATSCARD, que operan bajo un código base diferente y no se vieron afectados.
El fallo técnico pasó desapercibido en múltiples auditorías durante años. La compañía reveló que recientemente emplearon modelos avanzados de inteligencia artificial (IA) para revisar su código abierto en busca de vulnerabilidades, pero no hallaron resultados. Ante el rápido aprovechamiento del exploit, desde Coinkite asumen que los ciberdelincuentes sí lograron utilizar estas herramientas para detectar la debilidad y orquestar el robo.
