Galaxy Research destapa un robo de 70 millones de dólares en Bitcoin en carteras frías por una semilla con baja entropía

La mayoría de los robos en el ecosistema cripto parten de la misma premisa: claves privadas comprometidas por phishing, malware o la sustracción física de un hardware wallet. Un informe de Galaxy Research describe un ataque que rompe ese patrón. Un actor malicioso habría vaciado más de 1.000 BTC —unos 70 millones de dólares— de cerca de 1.200 carteras sin tocar ni un solo dispositivo. Según la investigación, no hubo intrusión en la red ni se explotó un fallo de hardware. El punto débil estaba en un elemento más básico: la aleatoriedad empleada al crear las carteras. La tesis de Galaxy es que una generación de semillas (seed) insuficientemente aleatoria permitió al atacante reconstruir claves privadas fuera de línea. Con las claves ya derivadas, bastaba con vigilar la cadena de bloques para identificar direcciones y barrer los fondos de forma remota. Las carteras frías siguieron intactas; no se "hackeó" ningún dispositivo ni medió un clic en enlaces maliciosos. Fue, en esencia, un golpe matemático contra una entropía deficiente. Carteras frías sin acceso físico: la grieta está en la semilla Las carteras frías se consideran el estándar de referencia para la autocustodia: claves aisladas en hardware sin conexión (airgapped) y una superficie de ataque, en teoría, mínima. Ese modelo se viene abajo si la frase semilla —el respaldo legible por humanos— se generó con un generador de números aleatorios predecible o de baja calidad. Conociendo esa debilidad, un atacante puede calcular fuera de línea claves probables, buscar en el libro mayor de Bitcoin direcciones asociadas y drenar los saldos antes de que alguien lo detecte. Galaxy Research no revela qué carteras concretas se vieron afectadas ni el procedimiento exacto para identificar semillas débiles. El propio hallazgo deja entrever un riesgo adicional: el atacante podría seguir explorando indefinidamente, rastreando nuevas carteras creadas bajo las mismas condiciones de entropía defectuosa. En ese escenario, el importe total podría superar los 70 millones de dólares ya observados. Entropía: el margen estrecho entre seguridad y vulnerabilidad La generación de la semilla suele tratarse como un detalle, tanto por usuarios como por fabricantes. Algunos dispositivos recurren a generadores seudoaleatorios alimentados por sensores, por la cadencia de interacción del usuario o por fuentes de aleatoriedad integradas. Si esas entradas resultan previsibles o sesgadas, las claves derivadas se vuelven inferibles. Con suficiente capacidad de cálculo, es posible precomputar grandes tablas de claves potenciales a partir de semillas débiles y automatizar el barrido de fondos. El informe subraya un punto incómodo de la autocustodia: un hardware wallet puede estar perfectamente protegido contra manipulaciones físicas y, aun así, producir claves inseguras. En última instancia, la fortaleza del modelo de Bitcoin depende de la entropía que sustenta sus pares de claves. El problema no es nuevo —la aleatoriedad débil ya ha provocado compromisos de carteras en Ethereum—, pero aquí destaca la escala y el foco: almacenamiento en frío. Efectos regulatorios e industriales Mientras los responsables políticos debaten marcos legislativos para activos digitales, episodios como este pueden reorientar la conversación hacia estándares mínimos de protección al consumidor en la infraestructura de carteras. En Washington sigue abierta la disputa sobre el mayor proyecto de ley cripto en la historia de EE. UU., con la presión de la banca a cuatro días de la votación en el Senado, y un drenaje de 70 millones de dólares refuerza los argumentos a favor de requisitos básicos de seguridad en el software de carteras. Aunque el sector suele resistirse a una regulación prescriptiva de la autocustodia, el historial creciente de robos asociados a implementaciones defectuosas puede cambiar ese equilibrio. Para los proveedores, el informe vuelve a poner el foco en la transparencia sobre las fuentes de entropía y en auditorías del proceso de generación de semillas. Los usuarios, por su parte, carecen de un método fiable para comprobar si los números aleatorios que produce su dispositivo son realmente aleatorios. Revisiones de seguridad independientes y diseños de código abierto siguen siendo las defensas más creíbles, pero la adopción de mejores estándares avanza lentamente. Lo que aún falta por saber Galaxy no ha identificado las marcas de las carteras afectadas, lo que deja a muchos usuarios sin una respuesta clara sobre su exposición. Ese silencio reabre el debate sobre la divulgación responsable y los plazos para correcciones públicas. El informe tampoco aclara si se explotó una única fuente de entropía débil en carteras de distintos fabricantes o si el problema se concentró en un modelo específico. Sin esa información, recomendaciones como rotar semillas o cambiar de dispositivo son difíciles de ajustar. El caso también pone el foco en una cuestión más profunda: las tenencias de Bitcoin en cadena que no se mueven durante largos periodos se convierten en un objetivo atractivo para atacantes con tiempo y recursos computacionales. A medida que avancen la computación cuántica y las capacidades de fuerza bruta, se estrechará la brecha entre la seguridad teórica y la vulnerabilidad práctica. El mensaje del informe de Galaxy es claro: los fallos de entropía ya se están explotando hoy a escala significativa, no en un futuro lejano.