El firmware de COLDCARD generaba semillas débiles
A quién afecta
Los fondos en semillas generadas con el firmware afectado pueden localizarse y vaciarse de forma remota. El firmware actual está corregido, pero el riesgo persiste para los fondos que siguen en semillas antiguas.
Qué pasó
Una opción de compilación del firmware introducida en 2021 hizo que los dispositivos COLDCARD generaran semillas con un generador de números aleatorios por software en lugar del de hardware. Según Coinkite, las semillas creadas en el Mk4, el Mk5 y el Q tienen unos 72 bits de entropía en lugar de 128, y el firmware más antiguo de Mk2/Mk3 salía peor parado.
Los atacantes empezaron a adivinar y vaciar las billeteras afectadas el 30 de julio de 2026. Coinkite afirma que los dispositivos en sí no fueron hackeados ni se accedió a ellos de forma remota: la debilidad está en semillas que ya se habían generado.
Están afectadas las semillas generadas con firmware de Mk4/Mk5 anterior a 5.6.0, firmware de Q anterior a 1.5.0Q, firmware Edge anterior a 6.6.0X / 6.6.0QX y firmware de Mk2/Mk3 4.0.1–4.1.9. Las semillas creadas a partir de 50 o más tiradas de dados privadas no están en riesgo por este error.
Qué recomienda Coinkite:
- Instala el firmware corregido antes de generar una semilla nueva.
- Transfiere los fondos a una semilla generada de nuevo, aunque uses una passphrase robusta: actualizar el firmware no repara una semilla existente.
- Verifica la nueva copia de seguridad y una dirección de recepción en el dispositivo, envía una pequeña transacción de prueba y después transfiere el resto.
El firmware es el software que se ejecuta en la propia billetera de hardware: genera las claves, muestra los detalles de la transacción en pantalla y firma.
Read full definitionColdcard es una billetera de hardware sin conexión para Bitcoin, fabricada por Coinkite, que almacena claves privadas sin conexión y firma transacciones sin exposición a internet.
Un Generador de Números Aleatorios (RNG) produce números impredecibles esenciales para la seguridad criptográfica en blockchain, como la generación de claves privadas y nonces.
Read full definitionLa entropía es la aleatoriedad utilizada para generar claves criptográficas o semillas seguras en sistemas de blockchain y criptomonedas.
Read full definitionUna copia de seguridad en criptomonedas es una copia segura de la frase semilla o las claves privadas de una billetera. Permite la recuperación de fondos si la billetera original se pierde o se daña.
Read full definitionUna dirección de billetera es el identificador público al que otros te envían criptomonedas. Se deriva de una clave pública y puede compartirse.
Read full definitionUna transacción de prueba es una transferencia pequeña que se envía antes de una grande para confirmar que la dirección, la red y la billetera funcionan como se espera.
Read full definitionFuentes
Información e investigaciones independientes con las que se verificó esta entrada.
Más información
Guías para protegerse de este tipo de incidente (Vulnerabilidad de firmware) y los términos del glosario que lo describen.
¿Pueden ser hackeadas las billeteras hardware?
Las billeteras hardware son extremadamente seguras, pero no invulnerables. Entiende los riesgos reales y los vectores de ataque.
Leer guía¿Es realmente seguro un monedero hardware?
Los monederos hardware son la opción más segura para la mayoría de las personas, pero aún puedes cometer errores. Esto es lo que necesitas saber.
Leer guíaFirmware
El firmware es el software que se ejecuta en la propia billetera de hardware: genera las claves, muestra los detalles de la transacción en pantalla y firma.
Bootloader
Un bootloader es un pequeño programa que inicializa el hardware y carga el sistema operativo o firmware principal de un dispositivo, a menudo utilizado en billeteras de hardware blockchain para un inicio seguro.
Actualización de Firmware
La Actualización de Firmware instala nuevo software de bajo nivel en una billetera hardware para corregir errores, mejorar la seguridad o agregar características en dispositivos de criptomonedas.
Citar esta entrada
WalletInsights. «El firmware de COLDCARD generaba semillas débiles». Registro de incidentes de seguridad en hardware wallets. Última verificación: 26 de octubre de 2026. https://walletinsights.io/es/security-incidents/coldcard-weak-seed-generation-2026/
Correcciones y derecho de réplica
Fabricantes, investigadores y lectores pueden enviar correcciones o comunicados a security@walletinsights.io. Los contrastamos con las fuentes, actualizamos la entrada y anotamos el cambio en su registro.