La tercera oleada de COLDCARD ya mueve lo robado: 97,09 BTC por THORChain y CoinJoin
Según Galaxy Research, el operador de la tercera oleada del robo a COLDCARD movió 97,09 BTC entre el 2 y el 6 de septiembre, cerca del 45 % de su botín. Lo hizo por THORChain y por CoinJoin, y vaciando sus bóvedas de la más grande a la más pequeña.
Actualización, 22 de octubre de 2026: el robo ha dado pie a una demanda colectiva en Ontario contra Coinkite. Lo que alega, y por qué no devuelve lo que se mueve aquí, en la demanda contra Coinkite.
Se ha puesto en marcha el botín de la tercera oleada de COLDCARD. Galaxy Research lo contó el 7 de septiembre en X: entre el 2 y el 6 de ese mes, el operador de esa oleada sacó 97,09 BTC, unos 7,7 millones de $ a precios de ese día, de las bóvedas en las que guardaba lo robado [1][2]. Hasta ahora, nuestra cobertura del caso iba sobre todo de cuánto se habían llevado. Esta va de qué están haciendo con ello.
Tres salidas en cinco días
- 2 de septiembre: unos 20,5 BTC de la bóveda más grande cruzan por THORChain, un exchange descentralizado que cambia monedas entre cadenas, y llegan a Ethereum.
- 5 de septiembre: 15,48 BTC de la segunda bóveda entran en una transacción CoinJoin.
- 6 de septiembre: otros 61,12 BTC, de diez bóvedas más, siguen el mismo camino.
Dos caminos distintos, con un mismo efecto. CoinJoin junta en una sola transacción las monedas de muchos usuarios, de forma que cuesta saber qué salida corresponde a qué entrada [2]. Y lo que cruza a Ethereum por THORChain deja de ser bitcoin.
De la bóveda más grande a la más pequeña
El orden dice bastante del operador. Según Galaxy, creó 293 bóvedas multifirma 2 de 2, una para las monedas de cada víctima, y las está vaciando por tamaño, de mayor a menor; el 7 de septiembre ya había vaciado las once más grandes [1][2]. Las bóvedas no son carteras de las víctimas, sino del propio atacante [2].
Lo que queda detrás pesa mucho menos. Según CoinDesk, que cita a Galaxy, las diez bóvedas siguientes guardan 30,81 BTC, y las que van de la 61 a la 293 suman 33,77 BTC entre todas [2]. Una cifra que, repartida entre 233 bóvedas, sale a unos 0,14 BTC de media.
Según Galaxy Research, el 7 de septiembre el 82 % de todo lo robado en el caso COLDCARD seguía en las direcciones originales de los atacantes [1][2]. El 18 % restante se había movido en transacciones que, según la firma, parecen pensadas para borrar el rastro [2].
Una bóveda más, y un total que vuelve a subir
Galaxy encontró, además, otra bóveda con el mismo formato 2 de 2, alimentada por 58 direcciones. La firma cree que probablemente es de otra víctima de COLDCARD, pero su origen sigue sin confirmar [1][2]. Si se cuenta, la tercera oleada pasa a 294 bóvedas y el total publicado de Galaxy para todo el caso sube a unos 1.806 BTC, unos 143,9 millones de $ [2].
No es la primera vez que el total cambia, ni será probablemente la última. En nuestra cobertura de la escalada y las ofertas de blanqueo están las cifras anteriores de Galaxy y de TRM Labs, cada una con su fecha y su método.
Lo que ha pasado desde el 7 de septiembre
Las cifras de Galaxy son de esa fecha. Bitquery, una empresa de datos on-chain que sigue el caso con un rastreador propio, contaba el 19 de octubre, en el bloque 972.117, que nada se había movido ese día y que el último movimiento era del 2 de octubre [3]. Según el mismo rastreador, la mayor dirección del caso, con 562,02 BTC, no se ha tocado nunca [3].
Ojo, eso sí, con comparar cifras: Bitquery advierte de que su conjunto de direcciones es más estrecho que el de Galaxy [3]. Son dos fotos distintas del mismo robo, no una corrección de la otra.
Qué cambia para quien tiene una COLDCARD
En el dispositivo, nada. Que los atacantes muevan lo robado no cambia si tu semilla está afectada, porque eso depende del modelo y del firmware con que se creó. Si está en el rango afectado, el plan es el mismo de siempre: semilla nueva, prueba con poco y después el resto, tal y como lo explicamos en el análisis del fallo.
Lo que sí conviene vigilar son los mensajes. Bitquery avisa de que quien ofrezca recuperar los bitcoin robados a cambio de una comisión es un estafador [3], y Galaxy dice que sigue ayudando a las víctimas a rastrear sus monedas para denunciar ante las autoridades [1]. Tras un robo así, las segundas estafas llegan casi siempre por el mismo camino: alguien que te pide la semilla o dinero por adelantado.
COLDCARD no ha sido el único caso del año en el que el chip resistió y aun así se perdieron fondos. Los otros dos están comparados en tres ataques a monederos físicos en 2026, y el resto de nuestra cobertura de autocustodia, en la sección de privacidad y autocustodia.
Si todavía no has migrado una semilla creada en un modelo afectado, el orden exacto de los pasos sigue en el plan de migración de nuestro análisis del fallo.
Fuentes
Entre paréntesis, el tipo de fuente.
- Galaxy Research, Coldcard 'Wave 3' exploiter continues to move funds, 7 de septiembre de 2026. Bóvedas de la tercera oleada, salida por THORChain, rondas de CoinJoin, bóveda sin confirmar y reparto entre lo movido y lo quieto. (Primaria, hilo de la firma en X)
- CoinDesk, Coldcard hacker moves $7.7 million in BTC, 45% of bitcoin stolen in third attack wave, 7 de septiembre de 2026. Importes de cada salida, saldo de las bóvedas restantes, valor en dólares y total de unos 1.806 BTC, según Galaxy Research. (Secundaria, prensa)
- Bitquery, Coldcard Hack Tracker Live, consultado el 20 de octubre de 2026 (cifras del 19 de octubre, bloque 972.117). Último movimiento, dirección mayor sin tocar y aviso sobre falsos recuperadores. (Secundaria, rastreador on-chain de una empresa de datos, redactado con ayuda de IA según la propia firma)
Más en Privacidad y autocustodia
Última actualización: 22 de octubre de 2026