Atacantes vinculados al exploit de Coldcard transfirieron aproximadamente 64 Bitcoin y 200 Ether hacia protocolos de mezclado de criptomonedas. La movilización de activos fue detectada entre el 4 y el 5 de agosto de 2026, según el reportado por la firma CertiK a través de análisis en la cadena.https://twitter.com/CertiKAlert/status/2084920866526114183
El valor total de las transferencias identificadas equivale a 4,17 millones de dólares en BTC y 380.000 dólares en ETH. La transacción en Bitcoin se ejecutó desde una dirección específica hacia el servicio de privacidad Wasabi el martes 4 de agosto de 2026.
Por su parte, la dirección bitcoin del atacante con el prefijo bc1q0 registró interacciones directas con los protocolos analizados. CertiK confirmó que el traspaso de los 200 ETH hacia la plataforma Tornado Cash se completó el miércoles 5 de agosto de 2026.
Portavoces de CertiK explicaron que los movimientos podrían responder a atacantes secundarios o imitadores que actuaron tras la brecha inicial. El uso de mezcladores dificulta la trazabilidad pública al combinar fondos de múltiples usuarios en contratos inteligentes.
Los protocolos de mezcla fragmentan el vínculo directo entre las billeteras de origen y destino. Esta técnica reduce significativamente la probabilidad de recuperar activos digitales robados mediante seguimiento de direcciones públicas.
Enrutamiento de fondos y vulnerabilidades en dispositivos
A pesar de estas transferencias aisladas, la empresa de inteligencia TRM Labs informó el 6 de agosto de 2026 que la mayoría del capital permanece concentrado. Los activos robados continúan acumulados en un grupo reducido de direcciones bajo control de los agresores.
El reporte de TRM Labs destacó variaciones estructurales en la construcción de las transacciones en cada fase del ataque. Este hallazgo respalda las conclusiones de Galaxy Digital, que identificó al menos 15 atacantes independientes involucrados en la explotación.
La causa raíz del incidente se relaciona con una vulnerabilidad en la billetera Coldcard introducida en una actualización de firmware en marzo de 2021. Este fallo debilitó la generación de entropía en las semillas de recuperación de modelos Mk2 y Mk3.
La entropía reducida recortó la fortaleza de las claves privadas de 128 bits a solo 40 bits. Esta degradación permitió a terceros reconstruir claves privadas de forma remota mediante ataques de fuerza bruta, sin requerir acceso al dispositivo físico.
Galaxy Digital calculó que el impacto total supera los 100 millones de dólares en BTC. La cifra corresponde al drenaje de 7.300 billeteras de víctimas confirmadas a lo largo de tres oleadas operativas registradas desde finales de julio de 2026.
Adicionalmente, investigadores de Galaxy detectaron indicios de una cuarta oleada de ataques en desarrollo. De confirmarse este movimiento, las pérdidas consolidadas alcanzarían los 130 millones de dólares en Bitcoin, situándolo como el tercer exploit más grande de 2026.
Mecanismos de lavado y antecedentes en el sector
Las estrategias de blanqueo observadas en este caso presentan diferencias respecto a otros ciberataques recientes. En el ataque contra Kelp DAO ocurrido en abril de 2026, el responsable canalizó 75.700 ETH mediante THORChain y el protocolo de privacidad Umbra.
Aquel evento en Kelp DAO generó aproximadamente 910.000 dólares en comisiones para la red THORChain. En el caso de Coldcard, los agresores han recurrido de forma combinada a Wasabi en Bitcoin y Tornado Cash en la red Ethereum.
Respecto a la seguridad del código, Haseeb Qureshi, socio gestor de Dragonfly, comentó que la falla pudo haberse prevenido con controles básicos. Modelos de inteligencia artificial lograron redescubrir la vulnerabilidad del firmware en menos de 20 minutos durante simulaciones de prueba.
Las firmas de análisis en cadena mantienen el monitoreo sobre las direcciones identificadas para detectar futuros intentos de movilización. El seguimiento continuo determinará si los fondos restantes permanecen estáticos o se envían progresivamente a plataformas de mezcla adicionales.
Este artículo tiene fines informativos y no constituye asesoramiento financiero.
