Hackers de Coldcard ya movieron parte de los bitcoin robados: ¿podrán lavar el resto?

El pasado 30 de julio, el ecosistema bitcoiner recibió un golpe fuerte tras el robo a usuarios de las hardware wallets de Coldcard. Exactamente una semana más tarde, más de 1.050 bitcoin (BTC), equivalentes a más de USD 68 millones, permanecen concentrados en tres direcciones atribuidas a los atacantes, según datos de Arkham y mempool.space.

Al momento de esta redacción, las tres direcciones vinculadas a los hackers de Coldcard distribuyen las tenencias robadas de la siguiente manera:

• bc1qq85v2c926eg6pgxhwp6q7lf6cnsz80qs3fcu9r: conserva 562 BTC (más de USD 36 millones).

• bc1qx76cae2706qd5q576feh7xq8rfcsjpf2htfhe3: mantiene 398 BTC (unos USD 26 millones).

• bc1q8jy96fe5lf8vfugydnte3cguk92gpev7kwtp3q: conserva cerca de 90 BTC (casi USD 6 millones).

La firma de análisis on chain Galaxy Research estima que el volumen total robado se sitúa entre 1.600 y 2.050 BTC, de los cuales 1.600 están confirmados y provienen de unas 7.300 direcciones a través de tres olas principales y 14 incidentes menores. La cifra superior incluye una cuarta ola aún no plenamente verificada por reportes de víctimas.

Del monto confirmado de casi 1.600 BTC, aproximadamente el 66% (más de 1.050 BTC) permanece en direcciones controladas por los atacantes.

No obstante, esas tres direcciones permanecen bajo observación constante de investigadores, empresas de análisis y usuarios. Debido a que las transacciones de Bitcoin son públicas, cualquier movimiento de esos fondos puede detectarse prácticamente al instante.

Esa visibilidad no impide que los atacantes gasten las monedas, pero sí dificulta hacerlo de forma discreta, ya que cada transferencia genera nuevas pistas para quienes siguen el caso y para las plataformas que monitorean fondos vinculados con actividades ilícitas.

Los hackers de Coldcard comenzaron a lavar el dinero

Los registros públicos muestran, sin embargo, que los atacantes no dejaron inmóvil todo el dinero robado y combinaron distintas estrategias para intentar reducir la trazabilidad de los fondos.

Parte de los fondos robados, unos 64 BTC aproximadamente, fue enviada a transacciones CoinJoin, un mecanismo que combina transacciones de varios usuarios para dificultar el análisis de su origen, como reportó previamente CriptoNoticias.

Por otro lado, otra porción fue convertida en 400 ETH y posteriormente enviada al mezclador Tornado Cash, una herramienta orientada a ocultar el historial de las transferencias.

Este comportamiento de los atacantes de Coldcard coincide con una práctica habitual en robos de gran magnitud: dividir el dinero en diferentes rutas y utilizar herramientas de privacidad para dificultar las investigaciones.

¿Qué podría pasar con el dinero?

Todavía es imposible saber cuál será el destino final de los bitcoin robados a los usuarios de Coldcard. Sin embargo, dos de los mayores ataques de la historia reciente muestran que existen desenlaces muy diferentes.

El primer antecedente es el hack contra Bybit, ocurrido en febrero de 2025. Tras sustraer cerca de USD 1.500 millones en ether (ETH), el grupo Lazarus, atribuido a Corea del Norte, inició un proceso de lavado que combinó conversiones entre activos, intercambios entre distintas redes, plataformas de intercambio descentralizadas y protocolos de liquidez.

Según las investigaciones de Elliptic y TRM Labs, miembros de Lazarus convirtieron gran parte de los ETH en bitcoin y posteriormente fragmentaron los fondos en miles de transacciones para dificultar su seguimiento, antes de continuar moviéndolos a través de múltiples servicios. Aunque los investigadores siguieron documentando parte del recorrido, el caso mostró la capacidad de un grupo altamente organizado para dispersar enormes volúmenes de dinero en pocos días.

El segundo antecedente apunta en la dirección opuesta. En 2016, atacantes robaron casi 120.000 BTC del exchange Bitfinex y durante años el dinero permaneció moviéndose lentamente entre distintas direcciones. En 2022, el Departamento de Justicia de Estados Unidos anunció la incautación de cerca de 94.000 BTC y la detención de dos personas acusadas de conspirar para lavar esos fondos.

Esa investigación concluyó que, pese a los intentos de ocultar el origen del dinero mediante miles de transferencias y múltiples cuentas, el rastro de las transacciones permitió reconstruir el recorrido del botín.

El caso Coldcard podría evolucionar hacia alguno de esos escenarios o tomar un camino diferente. Los atacantes todavía conservan más de mil BTC identificados y disponen de varias herramientas para intentar dificultar su rastreo. Entre ellas se encuentran nuevas rondas de CoinJoin, intercambios con otras redes como Monero para aprovechar el ocultamiento de direcciones, montos y entradas que ofrece esta cadena, o el uso de mezcladores en cadenas compatibles con Ethereum, como Tornado Cash, después de convertir parte de los fondos a otros activos.

Si bien ninguna de esas estrategias garantiza que el dinero desaparezca del radar de los investigadores, sí incrementa significativamente la complejidad y el costo del análisis forense.

Atacantes de Coldcard usaron CoinJoin y reabrieron un debate histórico

El investigador independiente conocido en X como tanuki42, especializado en rastreo de fondos ilícitos, indicó que los 64 BTC procedentes del hack estaban participando en CoinJoin coordinado por el servidor operado por Kruw, nombre del coordinador principal de Wasabi Wallet.

Los movimientos realizados por los atacantes de Coldcard a través de Coinjoin han desatado un intenso debate dentro del ecosistema de Bitcoin. Varios usuarios de la comunidad sostienen que un coordinador debería tener la capacidad de intervenir e impedir que los bitcoins robados participen en los procesos de mezcla.

En este contexto, el usuario Tanuki42 cuestionó públicamente al coordinador Kruw por no bloquear dichos fondos ilícitos. Como respuesta, Kruw se remitió a una declaración previa en la que defiende firmemente que los coordinadores no deben censurar transacciones, incluso si se conoce su origen delictivo.

Según la postura de Kruw, la implementación de listas negras es contraproducente por dos razones principales:

• Es ineficaz: Solo logra retrasar temporalmente el movimiento de las monedas.
• Sienta un mal precedente: Abre la puerta a mecanismos de censura que resultan completamente incompatibles con los principios fundamentales de libertad y descentralización de Bitcoin.

La discusión refleja una diferencia filosófica de larga data dentro del ecosistema. Para algunos bitcoiners, impedir que fondos robados accedan a herramientas de privacidad dificulta el lavado de dinero. Otros sostienen que ninguna autoridad debería decidir qué monedas pueden utilizarse y cuáles no. Desde el punto de vista técnico, el protocolo de Bitcoin no distingue entre propietarios legítimos o ilegítimos: únicamente verifica que quien intenta gastar una salida no gastada (UTXO) posea la clave criptográfica necesaria para autorizar la transacción.

Mientras ese debate continúa, las tres direcciones atribuidas a los atacantes siguen concentrando más de mil bitcoin. Si los responsables deciden mover esos fondos, toda la comunidad podrá observar el recorrido casi en tiempo real. Lo que todavía permanece abierto es si el caso terminará pareciéndose al de Bybit, donde gran parte del dinero logró dispersarse rápidamente, o al de Bitfinex, donde una porción sustancial del botín terminó siendo recuperada años después.