La cuenta de X de Coldcard publicó un enlace de phishing

La cuenta oficial de Coldcard en X publicó el domingo 11 de octubre un mensaje que avisaba a sus clientes de una vulnerabilidad crítica en el firmware del monedero y los dirigía a un enlace para comprobar si su dispositivo estaba afectado. Ni la vulnerabilidad era real ni el enlace llevaba a Coldcard: era una página de phishing dirigida a los dueños de uno de los monederos físicos más extendidos entre quienes guardan bitcoin a largo plazo. La publicación se borró y Coinkite, la empresa que fabrica el dispositivo, sostiene que ni sus credenciales ni su autenticación en dos pasos se vieron comprometidas. El episodio, que adelantó Bitcoin.com, llega tres meses después del fallo en la generación de semillas que en julio dejó expuestos miles de monederos, según los recuentos que recoge ese medio.

Una falsa alerta de firmware es el cebo perfecto

El dueño de un monedero físico está entrenado para hacer dos cosas: no soltar nunca sus palabras de recuperación y mantener el aparato actualizado. El mensaje apuntaba exactamente a la segunda. Hablaba de un fallo crítico, metía prisa y ofrecía un enlace para verificar. Y llegaba por el canal que el propio fabricante pide seguir.

El patrón se repite desde hace años en este tipo de fraudes: la página que hay detrás pide las palabras de recuperación con cualquier excusa —una comprobación de seguridad, una migración urgente— o invita a descargar un archivo de actualización que no viene de donde dice venir. La regla que lo desactiva no tiene excepciones: la semilla no sale del dispositivo y ningún fabricante la pide, ni por correo, ni en una web, ni por teléfono. El firmware se descarga del sitio o de la aplicación del fabricante, nunca de un enlace que aparece en un mensaje. El catálogo de estafas con criptomonedas recoge esta variante entre las que más dinero mueven precisamente porque no explota un error técnico, sino la obediencia del usuario cuidadoso.

Coinkite mantiene que sus claves de acceso están a salvo

La empresa borró el mensaje y afirma que sus credenciales y su autenticación en dos pasos siguen seguras. Las dos cosas pueden ser ciertas a la vez: una aplicación de terceros con permiso para publicar o una cuenta delegada abren la puerta sin que nadie tenga que robar una contraseña. Pero entonces falta lo importante, que es cómo salió de ahí un enlace fraudulento. Por ahora no hay esa explicación, y sin ella el cliente no tiene forma de saber si el siguiente aviso que lea en esa cuenta es de la empresa o de quien publicó el del domingo.

El fallo de las semillas de julio sigue en el fondo

El contexto es lo que convierte un mensaje borrado en algo más que un mensaje borrado. En julio, según Bitcoin.com, Coldcard arrastró un fallo en la generación de semillas: el momento en que el dispositivo crea el número aleatorio del que derivan todas las claves privadas del monedero. Si ese número no es aleatorio de verdad, el monedero nace predecible. Y lo peor de ese tipo de fallo es que no se nota: el aparato funciona, el saldo está donde debe estar y el dinero se puede vaciar meses después desde cualquier lugar del mundo sin tocar el dispositivo. El mismo medio cifra en $100 M los fondos implicados en aquel episodio y habla de miles de monederos alcanzados.

Esa es la diferencia entre un incidente de imagen y un incidente de custodia. Un enlace falso en una red social se arregla borrándolo y avisando; una semilla mal generada obliga a crear un monedero nuevo y mover los fondos, con la comisión y el riesgo operativo que eso implica. Lo que une a los dos episodios es la confianza, que para un fabricante de monederos físicos es el producto entero.

La cuenta de la marca, convertida en punto único de fallo

El sector vende dispositivos pensados para que el usuario no dependa de nadie y después concentra sus avisos de seguridad en una cuenta de red social, que es la parte más fácil de secuestrar de toda la cadena. Un monedero físico firma criptográficamente sus actualizaciones; el mensaje que anuncia esas actualizaciones no firma nada. De ahí la conclusión práctica del episodio: una publicación en redes sirve para enterarse de que existe un aviso, no para seguirlo.

Para quien se esté replanteando dónde guarda sus llaves, nuestros análisis del Ledger Nano X y del Trezor Safe 5 detallan cómo gestiona cada uno el firmware y la copia de seguridad, y la guía sobre billeteras frías y calientes explica qué protege cada opción y qué no. Las palabras de recuperación son el único punto que ninguna marca puede arreglar por el usuario: la lista de seguridad por impacto empieza y acaba ahí.

Queda por ver si Coinkite publica una reconstrucción de cómo se publicó el mensaje del 11 de octubre y por qué canal sacará el próximo aviso de firmware. Esos dos datos son los que dirán si el incidente se cerró o solo se borró.

Fuentes

• Coldcard X Account Hit by Phishing Scam After $100M Fiasco — Bitcoin.com, 11/10/2026

Este artículo no es una recomendación de inversión. Las criptomonedas son un activo volátil y sin cobertura de garantía de depósitos: puedes perder todo el dinero invertido.

¿Quieres ver antes nuestras noticias en Google? Añade Jukipto como fuente preferida.