Nota de corrección (27 de septiembre de 2026). Una versión anterior de este artículo decía que una passphrase robusta dejaba la cartera fuera del problema. No es exacto: el aviso del fabricante indica que añade una barrera independiente pero no repara la semilla, y recomienda migrar también en ese caso. El texto está corregido más abajo.
El 30 de julio de 2026 se produjo un barrido coordinado de fondos desde carteras cuya semilla se había generado en dispositivos Coldcard: cientos de carteras de firma única vaciadas en cuestión de minutos. Las estimaciones publicadas del total sustraído no coinciden entre sí y el fabricante no ha dado ninguna, así que aquí no se reproduce una cifra.
Conviene descartar de entrada la explicación intuitiva: nadie entró en los dispositivos. No hubo acceso remoto, ni programas maliciosos en los equipos de las víctimas, ni una base de datos filtrada. Los aparatos afectados siguieron haciendo exactamente lo que se esperaba de ellos, sin conexión, hasta el final. Los atacantes no necesitaron tocarlos: reconstruyeron las semillas por su cuenta, también sin conexión, aprovechando un defecto en cómo se habían generado años antes.
Un generador que dejó de funcionar sin avisar
Un dispositivo de firma lleva un generador de números aleatorios por hardware: un componente físico que produce aleatoriedad a partir de un fenómeno impredecible, como el ruido eléctrico de un circuito. Es la pieza sobre la que se construye la semilla.
Por un error de compilación introducido en marzo de 2021, las versiones afectadas del firmware dejaron de usar ese componente. El fallo lo desactivaba sin que nada en el sistema lo advirtiera: no había mensaje de error, ni aviso en pantalla, ni comportamiento raro. El dispositivo seguía generando semillas con normalidad, pero las tomaba de un generador por software mucho más débil.
Ahí está lo importante. Un generador débil no produce semillas rotas. Produce semillas perfectamente válidas, escogidas de un conjunto de posibilidades mucho más pequeño del que debería. En lugar de elegir entre una cantidad de combinaciones tan grande que no cabe imaginarla, elige entre una cantidad que alguien con recursos puede recorrer entera.
Eso es exactamente lo que ocurrió. Los atacantes no rompieron ninguna operación criptográfica: generaron todas las semillas que ese generador debilitado podía producir, derivaron sus direcciones y miraron cuáles tenían saldo.
Una semilla mala es indistinguible de una buena
Este es el punto que conviene llevarse, y va mucho más allá de un fabricante concreto.
Cuando un dispositivo muestra doce o veinticuatro palabras, no hay forma de saber si son buenas. Una semilla generada con mala aleatoriedad:
- se compone de las mismas palabras de la misma lista estándar;
- tiene un checksum válido, así que cualquier cartera la acepta sin protestar;
- genera direcciones correctas, que reciben y envían con total normalidad;
- funciona igual de bien durante años.
No hay nada que mirar. No existe una comprobación que se pueda hacer sobre las palabras para averiguar de dónde salieron. La calidad de una semilla no está en la semilla: está en el proceso que la produjo, y ese proceso ocurrió una sola vez, probablemente hace años, dentro de un aparato que no lo enseñó.
De ahí se sigue algo incómodo. Una semilla puede estar comprometida desde el instante en que nace, y el dispositivo puede no haber tocado internet jamás. Anotar las palabras en metal, repartir copias en dos ubicaciones y no fotografiarlas nunca —todo lo correcto— no cambia nada si el número del que salieron era adivinable. La custodia protege una semilla que existe; no puede arreglar su origen.
En la lección sobre seed phrases del curso de Cold Storage desarrollamos esto en detalle: de dónde salen las palabras, qué errores detecta el checksum y cuáles se le escapan, y por qué la entropía sostiene todo lo que viene después.
Sin conexión no significa a salvo
Hay una idea muy extendida que este caso matiza: que un dispositivo aislado de internet es seguro por estarlo. El aislamiento protege frente a una familia concreta de ataques —los que necesitan alcanzar el aparato— y funciona bien para eso. No protege frente a un defecto que viaja dentro del propio dispositivo desde el primer día.
Dicho lo cual, la conclusión razonable no es la contraria. Generar una semilla en un equipo o un teléfono de propósito general expone a riesgos peores y más frecuentes: el sistema operativo, el navegador, las extensiones, los programas instalados y la copia de seguridad automática que lo sube todo a la nube. Un aparato dedicado sigue reduciendo mucho más superficie de la que este fallo abrió.
Vale la pena señalar cómo se cerró el episodio, porque también es información. El defecto se detectó, se publicó y se corrigió, con una explicación pública de la causa. Un fallo comunicado y reparado dice más a favor de un proceso que un historial sin incidentes conocidos, que lo mismo significa que no ha pasado nada o que no se ha mirado.
Si tienes uno de los modelos afectados
Los modelos alcanzados son Mk2, Mk3, Mk4, Mk5 y Q. Quedaron fuera TAPSIGNER, OPENDIME y SATSCARD, que usan otra base de código. Las versiones afectadas son la 4.0.1 a la 4.1.9 en Mk2 y Mk3, y en Mk4, Mk5 y Q cualquiera anterior al parche del 31 de julio de 2026.
La versión de firmware que hay que instalar no la reproducimos aquí: ha cambiado tres veces en cinco semanas. Está en el aviso oficial del fabricante y en su página de actualización, que es la referencia válida, no lo que se reproduzca en cualquier otro sitio, incluido este artículo.
Sí conviene entender un detalle antes de leerla, porque cambia lo que significa actualizar: el firmware corregido repara la generación futura, no las semillas ya creadas. Una semilla débil sigue siendo débil después de actualizar. Cuando una semilla se generó con una versión afectada, el camino pasa por crear una nueva en un dispositivo ya corregido y mover los fondos, no por actualizar y quedarse quieto.
No detallamos aquí el procedimiento a propósito. Es el tipo de operación en la que un paso mal explicado cuesta dinero, y el fabricante es quien puede describirlo para cada modelo y cada versión.
Según la información publicada, las semillas generadas con al menos 50 tiradas de dados independientes y no registradas quedaron fuera del problema, porque su aleatoriedad no venía del generador defectuoso. Con la palabra adicional conviene ser más preciso de lo que se ha repetido: añade una barrera independiente, pero no repara la semilla, y el fabricante recomienda migrar igualmente.
Qué se aprende para cualquier dispositivo
Las lecciones no son sobre una marca. Son sobre dónde está apoyado todo lo demás.
La aleatoriedad es el cimiento. Toda la seguridad de una cartera descansa en que el número del que nace la semilla sea imposible de adivinar. Si esa pieza falla, no hay contraseña, ni caja fuerte, ni placa de acero que lo compense. Es el único punto del sistema donde un fallo silencioso lo invalida todo aguas abajo.
Mezclar fuentes de aleatoriedad evita depender de una sola. Un diseño que combina varias fuentes independientes y las une sigue funcionando aunque una de ellas se degrade o se desactive. Es una práctica documentada por varios fabricantes, aunque no todos expliquen por qué la siguen: Trezor combina la aleatoriedad del aparato con la del ordenador o el teléfono y lo justifica exactamente así, que la copia siga siendo segura aunque una de las fuentes tenga un defecto; Jade acumula la de varios sensores y contadores internos junto con la de su aplicación de acompañamiento, sin declarar el motivo. Como usuario no se elige la arquitectura interna, pero sí se puede preguntar por ella, y es una pregunta mucho más útil que la mayoría de las que se hacen al comparar aparatos.
Los dados aportan aleatoriedad verificable. Varios dispositivos permiten aportar tiradas de dados al generar la semilla. Son lentas y tediosas, y por eso casi nadie las usa. Su valor es que la aleatoriedad la aporta quien va a custodiar los fondos, con un proceso físico que puede observar, en vez de confiarla entera a un componente cuyo funcionamiento no puede comprobar. En este incidente marcaron la diferencia.
La palabra adicional añade un factor independiente. La passphrase —una palabra o frase que se suma a las palabras de la semilla y produce una cartera distinta— no vive dentro del dispositivo. Eso la convierte en una capa que un fallo de generación no anula por sí solo, pero tampoco arregla la semilla de debajo, y el propio fabricante pidió migrar también a quien la usara. Tiene su coste: si se pierde, los fondos se pierden con ella, sin excepción y sin recuperación posible.
Hay un epílogo que da la razón al argumento. En las dos revisiones de firmware posteriores al parche, el fabricante dejó de permitir que la semilla saliera solo del aparato: ahora exige una aportación del usuario —65 pulsaciones, 50 tiradas de dado o 128 lanzamientos de moneda— y muestra las palabras que codifican la aportación del dispositivo antes de mezclarlas, con una herramienta para verificar el resultado. Mezclar fuentes dejó de ser una opción para quien se molestara en usarla y pasó a ser el comportamiento por defecto.
Lo que queda
Un dispositivo dedicado a firmar sigue siendo mejor sitio para una semilla que un equipo conectado. Lo que este episodio corrige es una expectativa: la de que comprar el aparato adecuado resuelve el problema de una vez y para siempre.
No lo resuelve porque la parte crítica ocurre en un instante que no se ve, no deja rastro comprobable y no se puede auditar después mirando las palabras. Lo único que se puede hacer es intervenir mientras ocurre —aportando aleatoriedad propia— y añadir después un factor que no dependa de ese instante.
Si quieres entender cómo encaja esto en un plan de custodia completo, el curso de Cold Storage recorre el camino entero: del modelo de amenazas a la verificación de que una copia de seguridad funciona de verdad.