Hay una pregunta que suena absurda hasta que un firmware la vuelve urgente: si la billetera fría más seria del mercado te puede generar sola las doce o veinticuatro palabras de tu semilla… ¿para qué alguien en su sano juicio se sienta media hora a tirar dados? La respuesta, esta semana, dejó de ser una gastada entre nerds y se convirtió en la línea que separó a quienes conservaron sus bitcoins de quienes los vieron desaparecer sin que nadie entrara a su casa.
Coinkite, la empresa canadiense detrás de Coldcard —el ladrillo open source, “air-gapped”, idolatrado por los bitcoiners más técnicos— publicó y actualizó un security advisory entre fines de julio y el 1 de agosto de 2026: en ciertos modelos y versiones de firmware, el generador de azar del hardware no fabricó la aleatoriedad fuerte que el usuario creía estar comprando. El proceso quedó atado a un azar de software mucho más predecible.
Un atacante no necesita robar el aparato: pudo reconstruir la llave offline, chequear saldos en la red y vaciar wallets que sus dueños imaginaban a salvo en el cold storage (sin conexión a internet). Las cifras se mueven mientras se audita la cadena —más de mil trescientos bitcoins, casi noventa millones de dólares— pero la magnitud ya alcanza para entender el golpe: no se rompió el protocolo Bitcoin; se rompió la fe ciega en un producto premium, en el mundo bitcoiner “el mejor”.
Bitcoin cae cerca de los 62.000 dólares: las tres razones que explican la baja y qué mira el mercado
El detalle que más debería preocuparnos no es solo el tamaño del robo. Es cómo se encontró el error. Coinkite asume que alguien usó inteligencia artificial para revisar versiones antiguas de su firmware open source y detectar el fallo que llevaba cinco años escondido. Investigadores independientes lograron reproducir la vulnerabilidad en minutos con modelos de lenguaje avanzados. La misma herramienta que debería servir para auditar y endurecer el código también puede servir para encontrar, a escala y a velocidad inédita, los agujeros que ya existen. El atacante no necesitó entrar a ninguna casa ni infectar ningún dispositivo: solo necesitaba suficiente poder de cómputo y un modelo de lenguaje capaz de leer el código mejor y más rápido que muchos humanos. Ese es el nuevo escenario.
Acá viene el detalle que la conversación mainstream casi no se anima a mirar. El mismo advisory de Coinkite traza una frontera casi moral: si al crear la semilla sumaste al menos cincuenta tiradas independientes y privadas de dados, esa entropía tuya no depende del generador roto del dispositivo, y el seed no se considera en riesgo por este bug solo. Si usaste una passphrase BIP-39 fuerte y única —no el PIN del aparatito, sino esa frase extra que es otro muro— el atacante también se complica la vida. Actualizar el firmware no repara una semilla ya nacida en el error: hay que migrar con calma, semilla nueva, prueba chica, y recién después el resto. Pero la lección quedó grabada.
El botón fácil decía “generá las palabras acá adentro de forma digital, confiá”. El paranoico - el bitcoiner que realmente se toma en serio la autocustodia - preguntaba otra cosa: ¿y si ese adentro falla? Entonces sacaba los dados. No porque odiara la tecnología, sino porque entendía que la soberanía no se compra en un SKU: se fabrica con capas que no se caen todas juntas.
Esa paranoia no es un trastorno de tuiteros. Es, en buena parte de la cultura tech y de la cultura bitcoin, una forma adulta de relacionarse con el poder y con la máquina. Elon Musk construyó marca y empresas alrededor de una desconfianza casi teatral hacia instituciones, intermediarios y “el sistema” que promete cuidarte mientras concentra control. Peter Thiel —desde su defensa del monopolio creativo hasta su obsesión con la vigilancia, la defensa y las redes que no se dejan capturar por el consenso— lleva años repitiendo la misma idea: si todos confían en la misma capa, esa capa se vuelve el único punto de falla.
Se puede discutir su política, sus contradicciones o su cinismo; lo que no se puede discutir es que la paranoia de elite y la paranoia de basement a veces comparten el mismo instinto: no entregar la llave del motor a un solo proveedor, aunque ese proveedor sea elegante, open source y aplauda tu tribu. Coldcard era, para muchos, el ídolo de la tribu. Justamente por eso duele. Las lecciones baratas las dan los peores productos; las lecciones caras las dan los dioses de la casa.
La tentación periodística y financiera es siempre la misma después de un episodio así: “¿ves? la autocustodia no sirve; volvé al exchange, al ETF, al banco, al KYC total, a que alguien con corbata te guarde lo tuyo”. Es la lección que conviene a la custodia centralizada, y es un salto de categoría. Un fallo de cómo se fabricaba la aleatoriedad en un firmware no es una sentencia sobre la idea de no pedirle permiso al sistema para conservar valor. Es, en todo caso, la prueba de que confiar en un único punto —un logo, un ritual, un “New Wallet” sin preguntar de dónde sale el azar— también es una forma de dependencia, aunque esta vez la dependencia no sea del Estado sino de un ídolo técnico. Denunciar un robo, investigar flujos, perseguir a personas: eso es justicia. Entregar por pánico la llave de lo que te queda “para que te resguarden” es otra película: vuelve el freeze, el compliance de un día cualquiera, la ventanilla. El historial argentino no necesita un whitepaper para recordar qué se siente cuando el mostrador decide por vos (el corralito).
Solo sobreviven los paranoicos, en el sentido más útil de la frase: no los que viven asustados, sino los que diseñan como si el sistema bueno también pudiese fallar. Los que se preguntan de dónde sale la semilla antes de confiar en el botón. Los que separan protocolo de producto —Bitcoin no es Coldcard, Coldcard no es el exchange, el exchange no es el banco (o quizás si el banco es la Exchange pero ese es otro capítulo)— y no curan un monstruo con el slogan de otro. Los que entienden que 50 dados sobre la mesa no son folklore: son la respuesta casera a una pregunta filosófica disfrazada de ingeniería. Si el sistema te puede generar la frase… ¿quién garantiza al sistema? Y si ese sistema falla, ¿qué capa tuya sigue en pie?
La dicotomía del bitcoiner no es entre “seguir creyendo en Bitcoin” o “no creer más”. Es entre quienes tratan la soberanía como un producto terminado que se compra y quienes la entienden como un proceso que nunca se termina de construir. Coldcard no quebró el protocolo. Quebró la ilusión de que un aparato, por más open source y respetado que sea, puede reemplazar el juicio crítico de quien lo usa. La próxima vez que alguien diga “es el mejor del mercado”, la pregunta correcta no es si lo es. La pregunta correcta es: ¿y si no?
MEG
