«Asume que las máquinas leen tu código»: la lección del hackeo a Coldcard

La noche en que se detectó el robo masivo de bitcoin (BTC) a través de la firma Coldcard, el 30 de julio de 2026, Jameson Lopp, director de tecnología de la empresa de seguridad en activos digitales Casa, comenzó a redactar un informe que ahora es la radiografía de un cambio de paradigma.

Este hackeo se trata del momento en que la revisión humana del código informático quedó sobrepasada por la velocidad de procesamiento de los nuevos modelos de inteligencia artificial (IA).

Aquel día, en solo 41 minutos, más de 1.200 carteras frías de bitcoin (hardware wallets) fueron vaciadas de manera remota. El ataque se mantiene activo y ya escala a más de 2.000 BTC, valorados en unos 130 millones de dólares, que ahora están en poder de los atacantes, tal como lo ha reportado CriptoNoticias.

La economía de la vulnerabilidad se ha invertido. Leer un código para encontrar un fallo lógico sutil solía requerir a un experto especializado durante semanas. Hoy requiere acceso a una API de inteligencia artificial y una tarde libre.

Jameson Lopp.

Aunque la atribución exacta del método de ataque sigue sin confirmarse públicamente, Lopp y otros analistas señalan a la IA como la herramienta más probable. El incidente encendió las alarmas en el sector sobre cómo los modelos de lenguaje avanzados están siendo utilizados para auditar, y eventualmente explotar, el software que resguarda la riqueza digital.

El cadáver de una revisión obsoleta

Más que un fallo criptográfico, el caso Coldcard expuso las vergüenzas de la auditoría tradicional. Una sola línea en el proceso de compilación bastó para desactivar el generador físico de aleatoriedad desde 2021, reduciendo la entropía a niveles fácilmente vulnerables (40 bits en el modelo más antiguo y 72 en los siguientes en lugar de 256 bits).

A pesar de años de revisión humana sobre un código abierto, la desconexión entre la teoría y la ejecución real pasó inadvertida, demostrando que tener el código expuesto no garantiza que alguien esté mirando el lugar correcto.

Cuando Coinkite, la empresa fabricante de Coldcard, probó posteriormente el código defectuoso con modelos de IA como Kimi K3, Claude Fable y Codex 5.6, ninguna de estas herramientas detectó el fallo en su primer análisis.

Es una razón para ser cautelosos sobre lo que estas herramientas detectan y lo que aún pasan por alto», indicaron voceros de la compañía tras el incidente.

El caso reaviva así el debate sobre la efectividad de las revisiones de seguridad convencionales.

Una auditoría tradicional es un compromiso puntual; una fotografía, no una película. El código cambia constantemente. Una revisión realizada hace seis meses es la imagen de un sistema que hoy ya no existe. El pegamento que une los módulos suele ser donde viven los fallos catastróficos, y es exactamente lo que la revisión humana acotada tiende a saltarse.

Jameson Lopp.

Tim Lamb, un inversor de 38 años, perdió 2 bitcoin (aproximadamente 130.000 dólares) mientras se encontraba de vacaciones. «Hice todo lo que recomendaban los manuales. Compré la wallet recomendada y guardé la copia de respaldo en un lugar seguro. Aún así, los fondos desaparecieron sin que nadie tocara el dispositivo», relató.

Su historia es reflejo del golpe a la reputación del sector. Según datos de la firma de analítica Santiment, la proporción de comentarios positivos sobre bitcoin en redes sociales cayó a sus niveles más bajos en el año tras confirmarse la noticia.

«Coldcard demuestra cómo un único punto de fallo puede sacudir la confianza en todo el modelo», declaró Nikhil Raghuveera, director ejecutivo de Predicate. «El mayor riesgo es que los inversores se alejen por completo de los activos digitales».

Bienvenido al ritmo máquina contra máquina

La respuesta del sector no ha sido el pánico, sino una evolución estratégica hacia la automatización.

Casa, la firma de Lopp, ha construido un banco de pruebas de test de penetración o ataques simulados con IA que escanea todo su código de forma recurrente. Han sido aceptados en el Cyber Verification Program (programa de verificación de seguridad informática) de Anthropic), con acceso a los modelos más avanzados para análisis de vulnerabilidades.

Cada semana, los modelos más capaces toman un pase adversarial sobre el código que protege los fondos de sus miembros.

El sistema se ejecuta contra el mejor modelo disponible, por lo que se vuelve más afilado cada vez que la frontera de la IA se mueve. A medida que las herramientas de los atacantes mejoran, también lo hacen las nuestras.

Jameson Lopp.

Pero la capa más profunda de la seguridad de Casa no es el proceso. Es el producto mismo. Por ejemplo, las bóvedas son multifirma, requiriendo múltiples claves de diferentes dispositivos y proveedores para mover fondos. Un fallo en un solo fabricante no compromete la totalidad de los activos, según lo explicado por Lopp.

«Si esta vulnerabilidad hubiera ocurrido en un custodio centralizado, las pérdidas habrían sido inmediatas y masivas», señala Nick Neuman desarrollador de Casa. «La naturaleza descentralizada obligó a los atacantes a procesar cartera por cartera, dando tiempo a otros usuarios para moverse». Sin embargo, el caso también expone un futuro inmediato en el que la tendencia se incline hacia una mayor centralización de la seguridad en Bitcoin.

El ecosistema de las wallets de hardware reaccionó rápidamente para diferenciarse del incidente. Competidores como Trezo reforzaron la promoción de sus auditorías de código abierto y su programa de recompensas por fallos, argumentando que el escrutinio público continuo de la comunidad global de ciberseguridad es la única garantía real para evitar fallas catastróficas en la generación de claves privadas.

El ataque a Coldcard deja claro que la seguridad en la era digital ahora es una competencia técnica continua. Esto donde la velocidad técnica continúa, un escenario en el cual la redundancia de sistemas determinan quién mantiene el control de los fondos.