La autocustodia de Bitcoin volvió al centro del debate después de que una vulnerabilidad asociada a determinadas versiones de firmware de Coldcard expusiera billeteras cuyos dispositivos no necesitaban ser robados ni manipulados físicamente por los atacantes.
Galaxy Research confirmó con alta confianza el robo de 1.778,84 BTC desde más de 8.600 direcciones afectadas y detectó la participación de múltiples atacantes. El episodio tuvo una característica particularmente sensible para la industria: el problema estuvo asociado al proceso mediante el cual determinadas billeteras habían generado sus semillas, no a una vulneración de la red Bitcoin.
Para Rodolfo Andragnes, creador de LABITCONF y cofundador de ONG Bitcoin Argentina, el incidente obliga a revisar una idea extendida dentro del ecosistema: que mantener los fondos fuera de un exchange es suficiente para eliminar los riesgos de custodia.
“La autocustodia no consiste solamente en evitar que otro guarde nuestro bitcoin, consiste en asumir la responsabilidad de comprender cómo lo estamos guardando, cómo se genera una billetera, cómo se respalda, cómo se verifica una dirección, cómo se actualiza un dispositivo, cómo se recuperan los fondos y qué ocurrirá si nosotros faltamos”, planteó Andragnes.
Autocustodia de Bitcoin: el problema estuvo en cómo nacieron algunas claves
Las hardware wallets están diseñadas para generar y proteger las claves que permiten disponer de bitcoins. El dispositivo no almacena las monedas: los saldos permanecen registrados en la red Bitcoin, mientras que la wallet protege la información necesaria para moverlos.
En el caso de Coldcard, el incidente no comprometió la criptografía de Bitcoin ni alteró la blockchain. El problema estuvo asociado a la generación de determinadas semillas mediante versiones afectadas del firmware.
Coldcard reconoció públicamente el problema y publicó versiones corregidas y procedimientos de migración. La compañía advierte además que actualizar el firmware no convierte automáticamente en segura una seed que fue creada previamente bajo condiciones vulnerables: los usuarios afectados deben generar una nueva y migrar los fondos.
Ese punto cambia la naturaleza del riesgo. Una billetera puede permanecer desconectada de internet, físicamente protegida y fuera del alcance de un atacante, pero haber quedado comprometida desde su propia creación.
Qué es la entropía y por qué importa para una hardware wallet
Uno de los conceptos centrales del caso es la entropía, es decir, el nivel de imprevisibilidad utilizado durante la generación de las claves.
“La palabra ‘entropía’ puede sonar complicada, pero en este contexto significa elegir un número de manera verdaderamente impredecible”, explicó Andragnes en su análisis del incidente.
Cuanto mayor es el universo de combinaciones posibles y más impredecible es el proceso, más difícil resulta reconstruir una seed mediante fuerza computacional.
La vulnerabilidad redujo ese espacio efectivo de posibilidades para determinadas billeteras. Por eso, combinaciones que debían resultar prácticamente imposibles de reconstruir pasaron a estar dentro del alcance de atacantes con recursos técnicos suficientes.
La diferencia es importante: no fue necesario encontrar físicamente el dispositivo ni engañar individualmente a cada propietario. El ataque podía desarrollarse offline intentando reconstruir las claves correspondientes a direcciones identificadas.
La falla de Coldcard no invalida la autocustodia
El episodio también reabrió la discusión entre autocustodia y custodia institucional.
Mantener activos en un exchange supone confiar en una tercera parte: su solvencia, controles internos, ciberseguridad, gobierno corporativo y capacidad para devolver los fondos. La caída de FTX mostró que esos riesgos tampoco son hipotéticos.
Pero la autocustodia no elimina toda dependencia. El usuario sigue confiando, entre otros elementos, en el diseño del dispositivo, el firmware, la implementación del fabricante y sus propios procedimientos de seguridad.
Para Andragnes, plantear el incidente como una victoria de la custodia centralizada sería una conclusión equivocada.
“La primera conclusión no debería ser que la autocustodia fracasó ni que es preferible entregar nuestros bitcoins a una empresa bajo una contraseña y clave de acceso”, sostuvo.
La diferencia está en dónde se concentra la responsabilidad. En un modelo institucional, parte de ella se delega. En autocustodia, buena parte queda en manos del propietario.
Una passphrase suma protección, pero no corrige una seed vulnerable
Algunos usuarios incorporan una passphrase adicional a la seed. Esa práctica puede crear una barrera extra frente a quien consiga reconstruir o conocer las palabras de recuperación.
Pero no corrige el defecto original.
Una seed generada bajo condiciones vulnerables debe tratarse como comprometida. Añadir una passphrase o actualizar posteriormente el dispositivo no sustituye el procedimiento de migración hacia una nueva seed creada de manera segura.
La distinción es relevante porque seguridad por capas y corrección de una vulnerabilidad son dos cosas diferentes.
Código abierto, reputación y verificación
El episodio también mostró los límites de otras señales que habitualmente generan confianza en el ecosistema.
Que un producto sea de código abierto permite auditarlo, pero no garantiza que todos los fallos hayan sido identificados antes de llegar a los usuarios. Del mismo modo, años de reputación o una comunidad técnica activa no sustituyen la revisión continua de los componentes críticos.
Andragnes resume esa lección en una idea: la reputación de una compañía no debe reemplazar la verificación.
Una lógica que excede a Coldcard y que también se aplica a exchanges, protocolos, wallets y proveedores de infraestructura.
HODL también implica entender cómo se custodian los activos
El incidente llega además en un año en el que LABITCONF eligió “HODL” como uno de sus conceptos centrales.
Para Andragnes, la expresión debería ir más allá de simplemente mantener bitcoin durante años.
“HODL no es cerrar los ojos y conservar una moneda durante muchos años. HODL es aprender lo suficiente como para saber qué y cómo lo estamos defendiendo”, afirmó.
Eso incluye entender cómo se genera una billetera, cómo se construye un respaldo, cuándo utilizar una passphrase o una configuración multifirma, cómo recuperar los activos y qué mecanismo permitirá acceder a ellos en una situación de emergencia o sucesión.
El caso Coldcard no demuestra que Bitcoin haya dejado de ser seguro ni que la autocustodia haya fracasado.
Sí vuelve más exigente su definición.
Controlar las claves permite reducir determinadas dependencias de terceros, pero también implica comprender las herramientas utilizadas para generarlas y protegerlas. En activos que pueden transferirse de forma irreversible, la libertad financiera tiene una contrapartida concreta: la responsabilidad operativa también queda en manos del usuario.
Preguntas frecuentes sobre Coldcard y autocustodia de Bitcoin
No. La vulnerabilidad afectó el proceso de generación de semillas de determinadas versiones del firmware de Coldcard. No fue vulnerado el protocolo de Bitcoin ni su blockchain.
No. La actualización corrige la generación de nuevas semillas, pero no modifica una seed creada anteriormente mediante un firmware afectado. Es necesario seguir el procedimiento oficial de migración hacia una nueva seed.
Una passphrase fuerte puede proporcionar una barrera adicional, pero no corrige el problema de una seed vulnerable. La recomendación para una seed afectada sigue siendo migrar los fondos siguiendo las indicaciones oficiales del fabricante.