Bitcoin: "Las claves privadas son el pecado original de la cripto"

El primero que, habiendo cercado un terreno, se atrevió a decir: Esto es mío, y encontró a personas lo suficientemente simples como para creerlo, fue el verdadero fundador de la sociedad civil. Poseer tus claves es poseer tus bitcoins. La fórmula ha estado circulando en el ecosistema durante años, utilizada como el argumento definitivo contra los intercambios centralizados. Sin embargo, esta semana, precisamente esta promesa ha estallado en pleno vuelo.

La explotación que ha vaciado miles de direcciones de Coldcard ha recordado cuán crítica sigue siendo una clave privada, a pesar de todos los monederos físicos del mundo, un punto único de fallo. Para Ido Ben-Natan, director de la empresa de seguridad Blockaid, no es un accidente: es el pecado original de toda la cripto.

• Una explotación ha vaciado miles de direcciones de Coldcard, revelando una falla en la generación de frases de recuperación, provocando pérdidas estimadas en más de 130 millones de dólares.

• Casi el 75 % de las pérdidas cripto de 2026 fueron causadas por compromisos de claves privadas, subrayando el peligro de un punto único de fallo.

El Coldcard está diseñado para una única misión, mantener las claves privadas fuera del alcance de Internet. Las versiones afectadas, que operan bajo firmwares que van desde 4.0.1 hasta 5.0.3, han dejado pasar una vulnerabilidad. No se alojaba en la conexión, sino en la generación misma de las frases de recuperación (seed phrase en inglés).

En lugar de depender exclusivamente del generador de números aleatorios de hardware del dispositivo, algunos de los dispositivos afectados cambiaban a Yasmarang, un generador software determinista derivado de MicroPython, mucho menos impredecible. Un simple detalle fue suficiente para hacer que todo se desmoronara.

Los atacantes pudieron así reconstruir seeds enteras, y por lo tanto las claves privadas que protegen, sin haber tocado físicamente un solo dispositivo.

Galaxy Research evaluó el viernes las pérdidas confirmadas en al menos 111 millones de dólares, con una proyección de más de 130 millones de dólares una vez analizadas todas las transacciones. K33, por su parte, ha contabilizado más de 7,000 direcciones objetivo, y Galaxy menciona << varios actores maliciosos distintos >> explotando activamente la vulnerabilidad en paralelo.

Una cifra que no ha dejado de aumentar desde las primeras estimaciones: la firma Coinkite había mencionado inicialmente 594 BTC desviados en 25 minutos, antes de que el saldo se duplicara en cuatro días.

Es en este contexto que Ido Ben-Natan detalló su interpretación del incidente a The Block, el viernes. Su argumento se resume en una frase. Hacer que el acceso a un activo dependa de un secreto único, heredado históricamente de la contraseña y luego de la clave privada, crea mecánicamente un punto único de fallo.

<< Hay una belleza en el hecho de que nadie más pueda acceder a estos activos. La dificultad es que sigue siendo un punto único de fallo. >>

Blockaid, que proporciona servicios de monitoreo en tiempo real a monederos e intercambios como MetaMask, Coinbase Wallet, Uniswap o Stellar, ha cuantificado la magnitud del fenómeno en su informe del primer semestre: casi el 75 % de los fondos perdidos durante explotaciones cripto entre enero y junio de 2026 provienen de compromisos de claves privadas. Un semestre ya calificado como el más atacado de la historia, con más de mil millones de dólares desaparecidos. La cifra habla por sí misma.

Ben-Natan va más allá al señalar la inteligencia artificial como acelerador del fenómeno.

<< Muy pronto, cada persona en este planeta tendrá acceso a uno de los mejores hackers del mundo, al alcance de sus dedos >>

Su recomendación contrasta con el discurso habitual del sector:

<< Dejar tus activos en algún lugar y olvidarlos no es realmente la solución, porque el ritmo de la seguridad evoluciona constantemente. Debes estar siempre paranoico o delegar esta toma de decisiones a alguien más. >>

El asunto reactiva un debate que el ecosistema suele preferir evitar. El monedero físico ha sido vendido durante mucho tiempo como la respuesta definitiva al riesgo de piratería, la barrera física que mantiene las claves fuera del alcance de cualquier atacante remoto. El episodio de Coldcard muestra que esta barrera solo vale lo que vale el código que genera la clave en primer lugar, un eslabón de software tan falible como cualquier otro.

Los poseedores que han protegido su seed con una frase adicional (passphrase BIP-39, un secreto que el usuario añade y que nunca se almacena en el dispositivo) han permanecido en gran medida a salvo. Un detalle que desplaza la cuestión, de la confianza ciega en el hardware hacia una higiene de seguridad más activa del usuario mismo.

El incidente ocurre, además, en medio de una semana negra para la seguridad del ecosistema Bitcoin, entre alertas sobre servidores de pago y debates de gobernanza en la red, dos temas bien distintos que plantean, sin embargo, la misma cuestión de fondo.

La verdadera línea de fractura ya no pasa entre custodia propia y hardware wallet, sino entre una vigilancia activa y permanente, y la delegación asumida de esta responsabilidad a un tercero de confianza.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.