Caso Coldcard: cuando ni la IA detecta el fallo — USD 100 millones en bitcoin robados
En agosto de 2026 el mundo de las criptomonedas registró uno de los robos más comentados del año: atacantes sustrajeron 1.596 bitcoins —más de USD 100 millones— de unos 7.300 monederos Coldcard, y una cuarta ola aún sin confirmar elevaría el total a 2.055 bitcoins, cerca de USD 130 millones, según Galaxy Research. Pero el dato que más debería importar a las empresas no es el monto: es que la empresa fabricante, la canadiense Coinkite, había analizado sus sistemas críticos con herramientas de inteligencia artificial semanas antes de los ataques, y ninguna detectó la vulnerabilidad.
Un fallo invisible incluso para la IA
Coinkite explicó que el error no estaba en el código principal ni en la lógica criptográfica de los monederos Coldcard —dispositivos físicos, similares a una pequeña calculadora, que guardan sin conexión a internet las claves privadas de bitcoin. La vulnerabilidad, presente en versiones de firmware distribuidas desde marzo de 2021, estaba en la interacción entre dos submódulos que, en principio, no guardaban relación entre sí. Gracias a ese fallo, los ciberdelincuentes pudieron reconstruir claves privadas y acceder a los fondos sin manipular físicamente los dispositivos.
Tras el incidente, la empresa volvió a revisar el código con varios modelos avanzados de IA. Ninguno identificó el error. El consejero delegado y cofundador, Rodolfo Novak, ofreció disculpas públicas y asumió la responsabilidad.
Qué lecciones deja para las empresas
El caso confirma tres principios que aplican a cualquier organización, tenga o no criptomonedas:
- La IA es un apoyo, no una garantía. Las revisiones de código con IA son valiosas para detectar problemas comunes, pero no reemplazan la revisión humana experta ni las pruebas de integración. Si una auditoría "con IA" se trata como certificación final, se construye una falsa sensación de seguridad.
- Los problemas viven en las conexiones. Como recomendó Coinkite a otros fabricantes, los riesgos más difíciles suelen estar en la interacción entre componentes, no dentro de ellos. En su empresa: revise cómo se conectan sus sistemas, proveedores y servicios, no solo cada pieza por separado.
- El software viejo es deuda que cobra. Un fallo que estuvo cinco años sin detectarse. Mantener actualizados sistemas, firmware y dependencias no es opcional.
En la región, el contexto es urgente: las organizaciones de América Latina enfrentan en promedio más de 2.600 ciberataques semanales, por encima del promedio global, y el ransomware creció cerca de 78% en el último año.
Cómo lo abordamos en SimCodec
En SimCodec no vendemos miedo: construimos capacidad. Como socio estratégico de EPIC, integramos la ciberseguridad en cada servicio —redes y cableado estructurado, nube, videovigilancia, automatización y software a la medida—, empezando por un diagnóstico honesto de riesgos y priorizando los controles de mayor retorno. Si el caso Coldcard le dejó una pregunta sobre cómo se revisan y protegen sus sistemas, conversemos: evaluamos su postura de seguridad, revisamos sus integraciones críticas y diseñamos el plan para que el próximo fallo no se convierta en una crisis.
