El fallo de entropía de Coldcard (2026)

⚠️ Si tu seed phrase salió de una Coldcard con firmware afectado, trátala como comprometida, sin importar la fecha en que la creaste. Afectados: Mk2 y Mk3 de la 4.0.1 a la 4.1.9; Mk4 y Mk5 antes de la 5.6.0 (antes de la 6.6.0X en la versión Edge); Q antes de la 1.5.0Q (antes de la 6.6.0QX en Edge). Ojo con Edge: una 6.x anterior a esas está afectada aunque su número sea mayor. Si no sabes con qué versión creaste tu seed phrase, trátala como afectada. Salvo que estés en uno de los casos que se explican abajo, crea una seed phrase nueva y mueve tus fondos siguiendo la guía oficial de migración.

Qué falló

Una seed phrase de 12 palabras sale de un número aleatorio de 128 bits. Esa entropía es lo único que impide a un atacante adivinarla. Las Coldcard debían obtenerla del generador de números aleatorios por hardware (TRNG) de su chip.

En marzo de 2021, al cambiar la librería criptográfica del firmware, la función que pedía números aleatorios empezó a usar, sin que nadie lo notara, un generador de software que no es criptográfico. El origen fue una comprobación mal escrita en el código (#ifndef donde hacía falta #if). Como las dos funciones se llamaban igual, el firmware compiló sin errores y funcionó con normalidad durante más de cinco años.

El resultado, según Coinkite, el fabricante:

• Mk2 y Mk3 (firmware 4.0.1 a 4.1.9): unos 40 bits de entropía real.
• Mk4, Mk5 y Q (antes de la 5.6.0 y la 1.5.0Q, o de la 6.6.0X y la 6.6.0QX en Edge): unos 72 bits, algo más porque sus elementos seguros sí aportaban algo de aleatoriedad.

Cada bit que falta divide entre dos el trabajo del atacante. Con esa entropía, un atacante puede recorrer sin conexión las seed phrases que el aparato podía haber generado y comprobar cuáles tienen fondos. Es lo que pasó.

El robo

El robo empezó el 30 de julio de 2026, el mismo día del aviso de Coinkite (las crónicas no coinciden en la hora), y las versiones corregidas salieron el 31. La primera oleada vació unos 594 BTC de unas 500 billeteras en 25 minutos. Hasta el 5 de agosto, según el recuento de Galaxy Research que recogió la empresa de análisis TRM Labs, se habían llevado 1.816 BTC (unos 116 millones de dólares) de más de 5.200 direcciones, en cuatro oleadas. Las cifras varían según la fuente y la fecha del recuento.

Coinkite insiste en que no hubo puerta trasera ni intrusión: los aparatos no fueron hackeados. Fue un fallo de compilación que pasó todas sus revisiones. Unas semanas antes, la empresa había revisado su código con un modelo de inteligencia artificial, que tampoco lo detectó.

Quién se salvó

• Quien añadió al menos 50 tiradas de dado justas, independientes, privadas y sin apuntar al crear la seed phrase, o la creó en el modo solo con dados con ese mínimo, y usó las palabras finales que mostró el aparato después de las tiradas. Cada tirada aporta unos 2,585 bits; 50 suman más de 128, así que los dados bastaban por sí solos aunque el aparato no aportara nada. Si dudas del número de tiradas o de si fueron privadas, migra.
• Quien generó la seed phrase fuera de una Coldcard afectada y luego la importó. Una seed phrase que salió de una Coldcard afectada sigue afectada aunque se importe en otro aparato.
• Las seed phrases creadas con firmware anterior a la 4.0.1.
• Quien usa multifirma y sus claves de Coldcard afectadas no alcanzan para gastar: en un 2 de 3 con una sola Coldcard afectada, las otras dos claves siguen protegiendo los fondos. Pero esa clave ya está expuesta: hay que crear una política nueva sin ella y mover los fondos.

Tapsigner, Opendime y Satscard, otros productos de Coinkite, no generan seed phrase con ese firmware y no están afectados.

Una passphrase larga y aleatoria añade una barrera, pero Coinkite advierte que no repara una seed phrase débil. Si estás en ese caso, migra igualmente.

Qué hacer si tu seed phrase salió de una Coldcard afectada

Actúa pronto, pero sin prisas: Coinkite advierte de que una migración precipitada crea su propio riesgo. Estos son los pasos de su guía oficial, resumidos:

1. Antes de tocar nada, comprueba que puedes recuperar la billetera afectada: que tu copia es correcta y que la huella (fingerprint) coincide. Nunca destruyas la única copia que funciona.
2. Haz inventario de todo lo que cuelga de esa seed phrase: la billetera base, cada passphrase, las cuentas, las billeteras hijas BIP-85, las seeds temporales y paper wallets creadas en el aparato en ese periodo, y las multifirmas en las que participa. Cada una con saldo hay que migrarla por separado.
3. Instala el firmware corregido de tu versión (estándar o Edge), descargado de coldcard.com, y verifica su firma. A 1 de octubre de 2026, en la versión estándar: 5.6.3 en Mk4 y Mk5, 1.5.3Q en la Q y 4.2.0 en Mk2 y Mk3. Actualizar no arregla la seed phrase vieja: solo hace que las nuevas salgan bien.
4. Mejor en una segunda Coldcard ya actualizada. Si solo tienes una, la guía oficial explica cómo alternar entre la seed phrase vieja y la nueva sin perder ninguna.
5. Genera una seed phrase nueva. No clones ni restaures la vieja, y no uses la función «Clone/Migrate COLDCARD». En Mk4, Mk5 y Q con el firmware estándar actual, el aparato te pedirá entropía propia: pulsaciones, dados o monedas. En Mk2 y Mk3 con la 4.2.0 no es obligatorio: añade tú al menos 50 tiradas de dado. Coinkite recomienda, además, pasar la custodia a largo plazo de Mk2 y Mk3 a un modelo más reciente. Ver cómo generar entropía para tu seed phrase.
6. Apúntala y verifica la copia y la huella. Apaga y enciende el aparato, comprueba otra vez la huella y una dirección de recepción en su pantalla. Si usas passphrase, recuerda que la misma passphrase sobre la seed phrase nueva da otra billetera: comprueba también su huella.
7. Haz un envío pequeño de prueba y, si llega, mueve el resto. En una multifirma, crea una política nueva que sustituya la clave afectada y pasa los fondos a ella.
8. Guarda la copia vieja hasta que todo el saldo haya llegado y esté confirmado. Si una huella o una dirección no coincide, para: no envíes nada y no borres ninguna copia.

Qué ha cambiado para la comunidad

El fallo ha devuelto al centro una idea que muchos daban por resuelta: la aleatoriedad del aparato es una caja negra. Nadie puede comprobar desde fuera si su hardware wallet generó bien una seed phrase, y una débil no se distingue de una buena mirando las palabras. Por eso se ha vuelto a recomendar lo que antes parecía una manía:

• añadir entropía propia, con dados o monedas, que se mezcla con la del aparato;
• usar multifirma con aparatos de marcas distintas, para que un fallo de un fabricante exponga una sola clave;
• pedir revisiones independientes que comprueben de punta a punta de dónde sale la aleatoriedad, no solo que el binario corresponde al código.

Coinkite ha corregido el firmware y ha añadido comprobaciones que impiden compilarlo sin el generador por hardware. Desde la 5.6.1 y la 1.5.1Q (20 de agosto de 2026), cada seed phrase nueva exige entropía del usuario, que se mezcla con la del chip y la de los dos elementos seguros. El incidente coincidió con otros golpes a proyectos con el código a la vista ese verano, como la suspensión de Boltz.