Guardar las claves de tus criptomonedas nunca ha sido tan fácil, gracias a las diversas opciones, desde esconderlas en un antiguo búnker nuclear suizo hasta el uso común de plataformas de intercambio de activos digitales. Y, por supuesto, protegerlas de los ladrones nunca ha sido tan difícil.
El almacenamiento en frío —que utiliza dispositivos físicos sin conexión, como discos duros, cajas de seguridad o memorias USB— es el método de referencia en seguridad criptográfica. Para transferir bitcoin o criptomonedas similares desde tu monedero electrónico, necesitas conocer la secuencia de palabras aleatorias que conforma su contraseña virtual, conocida como frase semilla. Y en lugar de anotarlas o guardarlas en algún lugar digital conectado a internet, las almacenas en un lugar inaccesible para los hackers. O al menos, esa es la teoría.
Lamentablemente, un ataque ocurrido la semana pasada ha demostrado una vez más que ningún método es 100% fiable. Coinkite es una empresa canadiense que aloja las carteras de Bitcoin de los usuarios y ha desarrollado un dispositivo físico —Coldcard, que parece una calculadora de bolsillo— para crear las claves privadas de sus clientes para dichas carteras y mantenerlas seguras.
Pero los hackers aprovecharon la vulnerabilidad al encontrar un fallo en la forma en que la empresa generaba las frases semilla. En lugar de una generación completamente aleatoria, las carteras contaban con un mecanismo de seguridad que hacía que algunas claves utilizaran información predecible, como números de serie.
Así, los hackers pudieron usar ese conocimiento para acceder por fuerza bruta a miles de carteras en línea. Hasta el momento, se han robado más de 100 millones de dólares a los usuarios de Coldcard, a pesar de sus esfuerzos por mantener sus contraseñas ocultas.
Esta no es la primera vez que el almacenamiento físico de claves de criptomonedas falla al proteger las carteras. Existen numerosos casos de personas que pierden u olvidan sus contraseñas, caen en estafas de phishing y, como ejemplo, un disco duro con las claves de más de 500 millones de dólares en Bitcoin que terminó en un vertedero galés. Los poseedores de criptomonedas seguramente ya saben que este tipo de activos conlleva sus propios riesgos de seguridad, que son alarmantes.
Pero es difícil saber cómo los clientes de Coinkite podrían haber evitado esta situación. ¿Debería exigirse a todos los operadores de criptomonedas que analicen minuciosamente el código fuente de un proveedor de almacenamiento en frío antes de usarlo, por temor a ser hackeados? Si bien muchas de estas empresas someten sus sistemas a la revisión de expertos en seguridad y exhiben con orgullo sus certificaciones como prueba de fiabilidad, estas suelen ser solo instantáneas de un momento dado y no una garantía, ya que la tecnología está en constante evolución.
En este caso, el firmware de Coldcard estaba disponible para cualquiera como código abierto, una práctica habitual en el mundo de las criptomonedas debido al firme compromiso con los sistemas descentralizados. Además, permite a los hackers éticos buscar vulnerabilidades y reportarlas a cambio de una recompensa.
Sin embargo, a medida que se expande la adopción de tokens digitales, la proporción de personas con los conocimientos tecnológicos suficientes para evaluar la calidad del código de un proveedor de monederos digitales no hará más que disminuir.
Los riesgos aumentan exponencialmente a medida que los delincuentes aprenden a innovar. E
El auge de la IA ha creado nuevas formas de ataque, con herramientas como Claude de Anthropic PBC, capaz de analizar el código de las plataformas de criptomonedas en busca de fallos. (Esto no significa que la IA sea infalible. Coinkite afirma que varios modelos de vanguardia a los que solicitó que revisaran su funcionamiento no detectaron ningún problema antes de que se descubriera el hackeo).
Incluso en el mundo real, la delincuencia tradicional puede dar resultado.
Los ataques con llave inglesa, en los que los delincuentes obligan con violencia a las víctimas a entregarles tokens o contraseñas, han dado lugar a un impresionante aumento de atracos y secuestros en todo el mundo.
Francia sufrió una oleada de intentos coordinados por bandas, que representan el 38% de todos los ataques físicos documentados desde inicios de 2025, según una base de datos recopilada por el experto en seguridad de bitcoin Jameson Lopp.
La élite de las criptomonedas ha incrementado el gasto en guardaespaldas, mientras que en la Paris Blockchain Week de este año se vio cómo la policía escoltaba a personalidades importantes a una cena en Versalles. Es obvio que los inversores particulares no pueden permitirse tal protección.
Es cierto que el dinero tradicional presenta fallos de seguridad similares. Un banco puede ser asaltado a punta de pistola, las estafas telefónicas pueden engañar a la gente para que realice transferencias fraudulentas y el dinero en efectivo puede ser falsificado.
Sin embargo, un PIN olvidado o una transacción por error al teclear se solucionan fácilmente con el banco; las frases semilla extraviadas suelen perderse definitivamente.
De igual manera, los tokens robados son extremadamente difíciles de recuperar debido a la naturaleza de la tecnología blockchain, donde no se sabe quién es el verdadero dueño, solo quién tiene las claves cuando se realiza una transferencia.
Los intentos de la industria por sortear este problema no siempre son bien recibidos por los inversionistas.
Uno de los principios fundamentales de las criptomonedas es su mantra, repetido con frecuencia,de “si no tienes las claves, no tienes las monedas”, lo que significa que los proveedores de monederos pueden parecer demasiado prepotentes al intentar reforzar la seguridad.
Ledger, la empresa desarrolladora de otra popular solución de almacenamiento en frío, lanzó un producto que dividía las frases semilla en tres partes para facilitar su recuperación. Cada fragmento se almacenaría en países distintos a cargo de diferentes empresas, a modo de póliza de seguro.
No obstante, la mayoría de los usuarios de Ledger creían que su frase semilla era inexpugnable, por lo que descubrir que la compañía podía compartirla les pareció una traición. El producto se suspendió temporalmente, pero se lanzó unos meses más tarde con mayor transparencia.
El episodio de Coldcard podría servir como recordatorio para que los operadores opten por métodos de custodia más centralizados, pero lo dudo.
Los ideales libertarios de privacidad y autonomía de bitcoin siguen profundamente arraigados en el sector, y con razón. Los colapsos de FTX, Celsius y Mt. Gox demuestran lo que puede ocurrir cuando tus tokens se confían a terceros.
Sin embargo, proteger su frase semilla no es algo que los inversores minoristas deban tomar a la ligera, por lo que almacenar criptomonedas en la plataforma de intercambio donde las compraron suele ser la única opción que conocen.
Los fondos cotizados en bolsa (ETF) que contienen bitcoin son ofrecidos por gestoras de activos convencionales y representan una alternativa más segura, ya que proporcionan prácticamente la misma exposición al precio con menos riesgos. Para la mayoría de los inversores ocasionales, esto es suficiente.
Esta nota no refleja necesariamente la opinión del consejo editorial de Bloomberg LP y sus propietarios.
Lea más en Bloomberg.com
