Coldcard da marcha atrás en su política de borrado de datos tras el exploit de una cartera de 116 millones de dólares

Coinkite, el fabricante de la cartera de hardware Coldcard comprometida en julio, ha anunciado un cambio radical en su política de retención de datos. La compañía dejará de eliminar automáticamente los registros de los clientes, una decisión que llega después de que una vulnerabilidad del firmware sustrajera más de 100 millones de dólares en Bitcoin. Este giro, comunicado a través de la cuenta oficial de Coldcard en X, se anticipa a posibles obligaciones legales derivadas del incidente ocurrido el 30 de julio de 2026, el cual ha sacudido la confianza en la seguridad de los dispositivos de almacenamiento en frío. La medida supone un cambio de postura clave mientras la comunidad cripto vigila de cerca cómo la empresa maneja la crisis y protege los activos de los usuarios afectados.

¿Cómo gestiona Coinkite los registros de usuarios?

Coinkite ha confirmado que modificará la forma en que gestiona los datos de sus clientes "en relación con eldent de seguridad divulgado el 30 de julio de 2026". Sin embargo, antes de esa declaración, la empresa eliminaba de forma rutinaria los registros de sus clientes, a excepción de sus direcciones de correo electrónico y países de residencia.

El cambio en la práctica estándar del fabricante de Coldcard Wallet forma parte de lo que describió como una preparación para las "obligaciones legales" derivadas del robo.

La empresa no especificó en su comunicado qué información planea almacenar ni durante cuánto tiempo la almacenará en el futuro.

Sin embargo, se trata del último gran cambio que se aleja de la filosofía de privacidad ante todo y de autocustodia que se había convertido en el mantra de los defensores a ultranza Bitcoin durante décadas.

¿Qué pasó con Coldcard?

La revisión de la política de retención de datos de Coinkite se produce tras uno de los peores de seguridad del añodent, que explotó la versión de firmware 4.0.1 que la empresa lanzó en marzo de 2021.

Tal como advirtió TRM Labs, reflejando la gravedad de la vulnerabilidad de seguridad, la instalación del firmware corregido solo protege las carteras futuras. Cualquier clave de recuperación creada en una Coldcard vulnerable entre marzo de 2021 y la fecha de lanzamiento del parche debe considerarse insegura.

Hasta el momento, Cryptopolitan ha reportado cuatro oleadas de ataques desde el 30 de julio, fecha en que se descubrió por primera vez la vulnerabilidad.

La primera oleada robó aproximadamente 594 BTC, con un valor de casi 38 millones de dólares en ese momento, de unas 500 carteras en tan solo 25 minutos. Galaxy Research tractres oleadas más durante los cuatro días siguientes. Al momento de redactar este informe, el botín del atacante asciende a 1816 BTC distribuidos en más de 5200 direcciones.

TRM lo califica como el tercer mayor hackeo de criptomonedas de 2026, un año en el que la industria ya ha perdido más de 1.200 millones de dólares en 276dent.

Coinkite rechaza las afirmaciones de que "ellos lo sabían"

A medida que aumentaban las pérdidas, también lo hacían las acusaciones de que Coinkite había ocultado el fallo durante años. La empresa ha estado aclarando la situación públicamente. 

En respuesta a Jack Mallers el 7 de agosto, COLDCARD escribió que "no había una alternativa de entropía débil", argumentando que el generador de números pseudoaleatorios débil, llamado Yasmarang, era el generador de propósito general integrado de MicroPython introducido anteriormente, no una alternativa de Coinkite.

Por otra parte, el 5 de agosto surgieron informes de que un episodio de Rabbit Hole Recap de 2021, citado a menudo como prueba de conocimiento previo, hacía referencia a un error diferente, no al problema del generador de números aleatorios (RNG). La propia página de divulgación histórica enumera 23 eventos relevantes para la seguridad que se remontan a 2019, y la compañía ha remitido repetidamente a sus críticos a dicha página.

Canadá fue la más afectada

La geografía distorsionó la magnitud de los daños. Cryptopolitan informó el 5 de agosto que alrededor del 25% de las pérdidas atribuidas traca titulares en Canadá, y que Estados Unidos y Tailandia también se vieron gravemente afectados, según datos de Chainalysis que vinculan la base de datos de direcciones de billeteras con las regiones probables. 

Chainalysis atribuyó la exposición de Canadá a la temprana adopción Bitcoin y a las campañas de influencers que impulsaron a Coldcard a nivel local.

Las repercusiones se han ripple. El informe semanal de CoinMarketCap señala que el hackeo ha mermado la confianza en la autocustodia y ha empujado a algunos Bitcoinde vuelta a los exchanges centralizados. En respuesta, un grupo autodenominado Red Team, liderado por Rob Hamilton, CEO de AnchorWatch, ha comenzado auditorías con inteligencia artificial de Bitcoin , analizando hasta el momento 150 repositorios.

Las mentes más brillantes del mundo de las criptomonedas ya leen nuestro boletín. ¿Te apuntas? ¡ Únete!