Coldcard revoca su política de retención de datos, se prepara para ‘obligaciones legales’ por la explotación de $100M

Coinkite, el fabricante de la billetera Coldcard que fue explotada por 116 millones de dólares en el mayor incidente de seguridad de julio, ha informado a sus usuarios que ha realizado grandes cambios en cómo almacena sus datos de cara a las obligaciones legales que podrían surgir potencialmente.

El aviso que fue redistribuido en la cuenta de X de Coldcard temprano el viernes detalló que Coinkite dejará de borrar automáticamente los registros de los clientes. Esa divulgación es un revés que la empresa vinculó directamente a la explotación de firmware que ha drenado más de 100 millones de dólares en Bitcoins de sus billeteras de hardware desde el 30 de julio de 2026.

¿Cómo maneja Coinkite los registros de los usuarios?

Coinkite ha confirmado que cambiará cómo maneja los datos de los clientes “en conexión con el incidente de seguridad divulgado el 30 de julio de 2026”. Sin embargo, antes de esa declaración, la empresa borraba rutinariamente los registros de los clientes, excepto sus direcciones de correo electrónico y países de residencia.

El cambio en la práctica estándar del fabricante de Coldcard Wallet es parte de lo que describió como preparación para “obligaciones legales” derivadas del robo.

La empresa no especificó en su declaración qué información planea almacenar o por cuánto tiempo la almacenará en el futuro.

Aún así, es el último gran cambio lejos de la ética centrada en la privacidad y la autotutela que se había convertido en el mantra para los Maxis de Bitcoin durante décadas.

¿Qué pasó con Coldcard?

La revocación de la política de retención de datos de Coinkite sigue a uno de los peores incidentes de seguridad del año, que explotó la versión de firmware 4.0.1 que la empresa envió en marzo de 2021.

Como TRM Labs advirtió, reflejando la gravedad de la vulnerabilidad de seguridad, instalar el firmware corregido solo protege las billeteras futuras. Cualquier semilla creada en un Coldcard vulnerable entre marzo de 2021 y el parche debe considerarse insegura.

Hasta ahora, Cryptopolitan ha reportado cuatro oleadas de ataques desde el 30 de julio cuando se expuso por primera vez la explotación.

La primera oleada eliminó aproximadamente 594 BTC, valorados en casi 38 millones de dólares en ese momento, de aproximadamente 500 billeteras en 25 minutos. Galaxy Research rastreó tres oleadas más durante los siguientes cuatro días. A partir de este informe, el botín del atacante ahora está en 1.816 BTC en más de 5.200 direcciones.

TRM lo califica como el tercer mayor hackeo cripto de 2026, un año en el que la industria ya ha perdido más de $1.200 millones en 276 incidentes.

Coinkite rechaza las afirmaciones de que 'sabían'

A medida que aumentaban las pérdidas, también lo hacían las acusaciones de que Coinkite ocultó la vulnerabilidad durante años. La empresa ha estado corrigiendo la versión de los hechos públicamente. 

Respondiendo a Jack Mallers el 7 de agosto, COLDCARD escribió que «no había un respaldo débil de entropía», argumentando que el PRNG débil, llamado Yasmarang, era el generador de propósito general integrado de MicroPython introducido en el código base, no un respaldo de Coinkite.

Por separado, el 5 de agosto surgieron informes de que un episodio de 2021 de Rabbit Hole Recap, a menudo citado como prueba de conocimiento previo, se refería a un error diferente, no al problema de RNG. La propia página de divulgación histórica de Coinkite enumera 23 eventos relevantes para la seguridad que se remontan a 2019, y la empresa ha señalado a los críticos hacia ella repetidamente.

Canadá fue el más afectado

La geografía sesgó los daños. Cryptopolitan informó informó el 5 de agosto que aproximadamente el 25% de las pérdidas atribuidas se rastreaban hasta titulares en Canadá, con Estados Unidos y Tailandia también muy afectados, según datos de Chainalysis que vinculan la base de datos de direcciones de billetera con regiones probables. 

Chainalysis atribuyó la exposición de Canadá a la adopción temprana de Bitcoin y a campañas de influencers que impulsaron Coldcard localmente.

Las consecuencias se han extendido. La nota de investigación semanal de CoinMarketCap indicó que el hackeo ha sacudido la confianza en la autotutela y ha empujado a algunos bitcoiners de vuelta hacia exchanges centralizados. Como respuesta, un grupo que se llama a sí mismo el Equipo Rojo, liderado por el CEO de AnchorWatch, Rob Hamilton, ha comenzado auditorías asistidas por IA de billeteras y bibliotecas de Bitcoin, escaneando 150 repositorios hasta ahora.