Más de 100 millones de dólares en Bitcoin evaporados por un fallo en las carteras físicas Coldcard. La cifra, que ha sacudido a la comunidad, no es un ataque a un exchange ni un fraude piramidal: es un problema de generación de claves, de aleatoriedad, de esos que rara vez salen a la luz pero que cuando lo hacen siembran dudas sobre la seguridad más absoluta. Coldcard, un fabricante conocido precisamente por su obsesión con la seguridad, se ha convertido ahora en el centro de un debate que enfrenta a los puristas de la entropía manual con los defensores de los generadores de números aleatorios por hardware.

Bitcoin cotiza alrededor de los 64.232 dólares, pero no es el precio lo que importa hoy. Lo importante es entender qué ha fallado, por qué un pequeño error en la generación de una clave puede arruinar a cientos de usuarios, y qué podemos aprender para no repetir el error. Porque en Bitcoin, la verdadera seguridad no está en la contraseña que eliges, sino en el número aleatorio que está en el origen de tu clave privada. Y si ese número no es tan aleatorio como parece, todo lo demás se derrumba.

Coldcard: la cartera que prometía máxima seguridad

Coldcard es un hardware wallet, es decir, un dispositivo físico diseñado para custodiar las claves privadas de tus bitcoins sin que estas toquen un ordenador conectado a internet. Se ha ganado una reputación casi de culto entre los usuarios más técnicos gracias a funciones como el modo de funcionamiento completamente air-gapped, la verificación de transacciones en pantalla y su filosofía de código abierto. Para muchos, era la opción más segura del mercado. Ese aura de invulnerabilidad hace que un fallo como este duela todavía más.

La información que ha trascendido apunta a que el problema está relacionado con la forma en la que se generan las claves privadas, concretamente con la entropía. Para que una clave sea segura, debe ser imposible de adivinar. Y eso requiere una fuente de aleatoriedad impredecible. Si esa fuente falla o se ve comprometida, dos carteras podrían acabar generando la misma clave, o peor: un atacante podría calcular las claves de los demás.

Entropía: el talón de Aquiles de toda cartera

En criptografía, la entropía es una medida de la incertidumbre. Una clave privada de Bitcoin es un número de 256 bits, y se considera segura si cada uno de esos bits ha sido generado con una probabilidad del 50%. Cualquier sesgo, cualquier patrón, reduce el espacio de búsqueda. Es como si en lugar de una cerradura con 2^256 combinaciones, tuvieras una con 2^200: sigue pareciendo imposible de abrir, pero para un ordenador con suficiente potencia y el algoritmo adecuado, la diferencia es brutal.

Los primeros años de Bitcoin, muchos usuarios generaban sus claves a partir de la aleatoriedad de un ordenador personal, con resultados desastrosos. Salió a la luz el caso de miles de bitcoins robados porque sus claves se habían generado con un generador de números pseudoaleatorios mal implementado. Desde entonces, la industria ha evolucionado. Los hardware wallets actuales utilizan chips específicos con generadores de aleatoriedad por hardware (TRNG) que, en teoría, extraen el azar de fenómenos físicos como el ruido electrónico. Pero incluso esos sistemas pueden tener fallos de diseño o de implementación.

Y aquí entra la otra cara del debate: los dados. Una comunidad de usuarios, desconfiada de cualquier componente electrónico, prefiere generar su propia entropía lanzando dados físicos y anotando los resultados. Es un método llamado BIP39, y puede ser perfectamente seguro si se hace bien. Pero también tiene trampas. Un dado cargado, una tirada mal contada o un error humano al convertir los resultados a binario pueden arruinar la aleatoriedad. La pelea entre los que confían en el hardware y los que confían en el papel y la tinta es antigua, y este incidente le da razones a ambas partes.

Qué significa esto para tu Bitcoin

Si tienes una Coldcard, es normal que te preguntes si tus fondos están en riesgo. La información disponible no detalla qué modelos ni qué versiones de firmware están afectados, ni cómo exactamente se ha explotado el fallo. Lo que sí sabemos es que la pérdida supera los 100 millones de dólares, lo que indica que no es un caso aislado. Ante la incertidumbre, lo prudente es no entrar en pánico, pero sí tomar medidas: revisar si existe algún comunicado oficial del fabricante, comprobar si tu dispositivo está afectado y, en el peor de los casos, migrar los fondos a una cartera cuya generación de claves sea verificable.

La lección más profunda es que ninguna cartera es una caja negra infalible. Da igual si usas un hardware wallet de 200 euros o una app gratuita: la seguridad depende de la calidad de la aleatoriedad con la que se generó tu semilla, y de cómo la custodies. Los usuarios más cuidadosos pueden incluso auditar el proceso de generación de sus claves, pero eso requiere conocimientos técnicos que no todo el mundo tiene. Por eso es tan importante que los fabricantes publiquen sus diseños, que se sometan a auditorías independientes y que la comunidad vigile de cerca cualquier anomalía.

En Bitcoin, la verdadera seguridad no está en la contraseña que eliges, sino en el número aleatorio que está en el origen de tu clave privada.

Este incidente también recuerda que el ecosistema cripto sigue siendo joven y que los problemas de seguridad no solo llegan por la puerta grande de los exploits de contratos inteligentes o los hackeos de exchanges, sino también por los rincones más oscuros y técnicos. La próxima vez que alguien te diga que su cartera es inmune a todo, recuerda lo que ha costado un solo fallo de entropía: más de 100 millones de dólares y una confianza que quizá ya no vuelva a ser la misma.

Lo que conviene vigilar en los próximos días es la respuesta de Coldcard: si publica un informe técnico, si ofrece una herramienta para que los usuarios comprueben si sus claves son seguras, o si recomienda migrar fondos. También habrá que estar atentos a si otros fabricantes revisan sus propios generadores de aleatoriedad. La seguridad en Bitcoin siempre está en movimiento, y este es uno de esos momentos en los que la comunidad debe actuar con calma, pero sin bajar la guardia.