El atacante vinculado a la tercera oleada del hackeo a Coldcard transfirió aproximadamente el 45% de sus fondos en Bitcoin. Los movimientos se ejecutaron mediante THORChain y CoinJoin, según documentó un informe de Galaxy Research publicado el 7 de septiembre de 2026.
Coldcard ‘Wave 3’ exploiter continues to move funds
In wave 3, the exploiter created 293 2-of-2 multisig vaults for each victim’s coins.
The first movements on 9/2 sent coins over THORChain to Ethereum.
Tonight’s movements are going into coinjoins rounds. pic.twitter.com/H7HIpcI7ah
— Galaxy Research (@glxyresearch) September 7, 2026
Las operaciones de dispersión comenzaron formalmente el 2 de septiembre de 2026. En esa fecha, el actor malicioso canalizó activos hacia Ethereum usando THORChain, sumándose a una conversión previa a Ether que había involucrado el 10% del capital obtenido en esa fase de explotación.
Posteriormente, los activos restantes fueron dirigidos hacia rondas de mezcla en CoinJoin. Dicho procedimiento unifica transferencias de múltiples usuarios en una sola transacción dentro de Bitcoin, dificultando el seguimiento analítico al romper el vínculo evidente entre direcciones de entrada y billeteras de destino.
Debido a que CoinJoin procesa montos estandarizados en ciclos sucesivos, los poseedores de grandes volúmenes deben ejecutar múltiples rondas. Esta característica operativa explica por qué el atacante priorizó el procesamiento de los saldos más voluminosos durante la fase inicial de blanqueo.
Para custodiar el capital sustraído, el atacante configuró 293 bóvedas multifirma dos de dos. El vaciado de fondos se ejecutó en estricto orden decreciente según el volumen de cada depósito, dejando completamente desocupadas las 11 estructuras de almacenamiento que concentraban los montos más altos.
Estas 293 bóvedas empleaban un esquema donde el atacante controlaba ambas llaves criptográficas. Esta arquitectura requería dos firmas para autorizar transferencias, lo que permitió segmentar los activos sustraídos en cuentas separadas antes de iniciar las operaciones de mezcla intercadena.
El análisis de estos flujos permitió a los investigadores identificar una bóveda adicional no detectada previamente. Se determinó que dicho contrato almacenaba tenencias de otra víctima del incidente, aunque la confirmación técnica sobre el método exacto empleado para vulnerar ese caso específico sigue pendiente.
Dispersión parcial del botín acumulado
Pese a los recientes traslados, el cuadro general muestra que el 82% del Bitcoin robado permanece inmóvil en las direcciones iniciales controladas por los agresores. Solo el 18% del total extraído a lo largo de las distintas oleadas ha registrado actividad de blanqueo hasta septiembre de 2026.
La vulnerabilidad explotada se originó en una actualización del firmware 4.0.1 distribuida en marzo de 2021. La modificación provocó que el generador de números aleatorios redujera la entropía en ciertos dispositivos a 40 bits, permitiendo calcular llaves privadas mediante ataques de fuerza bruta remotos.
Desde la primera sustracción el 30 de julio de 2026, los atacantes drenaron más de 1.816 BTC en más de 5.200 direcciones. Coinkite emitió parches el 31 de julio de 2026, señalando que los usuarios con semillas generadas en versiones afectadas debían transferir sus fondos hacia billeteras reconstruidas.
Magnitud del incidente en los registros anuales
Esta intrusión representa el tercer mayor ciberataque contra criptoactivos en 2026. El incidente queda únicamente superado por el hackeo a Kelp DAO, que acumuló pérdidas estimadas en 293 millones de dólares, y por la brecha de 280 millones de dólares registrada en Drift Protocol.
Las posiciones comparativas corresponden al registro de incidentes de DefiLlama, plataforma de métricas que audita pérdidas en finanzas descentralizadas. Sus registros reflejan que las sustracciones de seguridad en el sector superaron los 1.200 millones de dólares en 276 eventos documentados durante el transcurso de 2026.
Hasta ahora, 282 bóvedas secundarias continúan bajo control del atacante de la tercera oleada sin experimentar transferencias. Las entidades de investigación mantienen reportadas más de 600 direcciones sospechosas ante autoridades regulatorias, firmas de cumplimiento y agencias de seguridad para detectar posibles nuevos intentos de liquidación en exchanges centralizados.
Los analistas continúan evaluando la estructura de las transacciones para determinar si las oleadas corresponden a un solo actor o a múltiples operadores que explotaron la vulnerabilidad. Las firmas forenses observan diferencias técnicas en el diseño de las operaciones entre cada fase del ataque.
La recuperación de los activos continúa sujeta a los rastreos de los puentes intercadena y a la cooperación de servicios de custodia que reciban fondos vinculados a las direcciones identificadas.
Este artículo tiene fines informativos y no constituye asesoramiento financiero.
