Desde la cuenta oficial de Coldcard en X salió un enlace de phishing: llamaban a los dueños de billeteras a una "migración urgente"

Qué pasó el 11 de octubre

Coldcard es una billetera de hardware solo para bitcoin, fabricada por la empresa canadiense Coinkite. En la madrugada del domingo, desde su cuenta oficial en X salió un post titulado "URGENT COLDCARD SECURITY UPDATE". Hablaba de un error crítico en la generación de la frase semilla en firmwares recientes y decía que los dueños de las billeteras afectadas debían "empezar una migración cuidadosa". El enlace llevaba a la dirección migrate.coldcardwallet.io, que nada tiene que ver con Coldcard: el único sitio de la empresa es coldcard.com.

La cronología, según Bitcoin.com News y Crypto Briefing:

• Cerca de las 02:00 UTC. El post aparece en la cuenta.
• En las horas siguientes. Los lectores notan el engaño y se avisan unos a otros en las respuestas.
• 05:46 UTC. Coldcard confirma el incidente: el post ya está borrado y el enlace no debe abrirse.
• Unos 20 minutos después. La empresa pide públicamente al soporte de X que intervenga con urgencia.

El comunicado de la empresa es breve: "Estamos investigando cómo se publicó desde esta cuenta un post con un enlace de phishing. Ya fue eliminado". Más tarde añadió: "En nuestra cuenta apareció un post de phishing, pero no encontramos ningún inicio de sesión, sesión ni registro de acceso que le corresponda".

Por qué era fácil creerle al post

Porque hace tres meses una advertencia casi idéntica fue real.

A fines de julio de 2026 se supo que los firmwares de Coldcard creaban desde marzo de 2021 frases semilla con poca aleatoriedad: por un error de compilación, el generador entregaba mucha menos entropía de la debida. Los atacantes no necesitaron ni los dispositivos ni phishing. Probaban las frases posibles en sus propias computadoras y vaciaban las billeteras que coincidían. Los primeros robos empezaron el 30 de julio. Las pérdidas se estiman en 1.600 a 1.800 BTC, es decir, entre 100 y 130 millones de dólares al precio de entonces; los analistas de Galaxy Research contaron 1.816 BTC.

Coinkite publicó entonces firmwares corregidos: 5.6.0 para Mk4 y Mk5, 1.5.0Q para el modelo Q y 4.2.0 para Mk3. Y advirtió sin rodeos que la actualización solo arregla las billeteras futuras. Una frase semilla creada con el firmware viejo no queda corregida, así que hay que generar una nueva y pasarle las monedas.

De eso se aprovecharon los autores del engaño. "Error en la generación de la semilla", "migración" y los números de los firmwares corregidos eran palabras que los dueños de Coldcard ya habían oído de la propia empresa. El post falso, según U.Today, citaba las mismas versiones. Cambiaba un detalle: la migración real se hace en el propio dispositivo, y la falsa llevaba a un sitio web.

El momento también estuvo bien elegido. Toda la semana pasada se habló de los robos a compradores de Ledger, y el 10 de octubre la empresa confirmó un implante de hardware en una billetera vendida por un revendedor. Los dueños de billeteras de hardware ya estaban nerviosos.

Cómo llegó el post a la cuenta

Por ahora no lo sabe nadie, tampoco Coldcard. La empresa dice que desde 2017 la cuenta está protegida con autenticación de dos factores offline, que tiene acceso a ella un círculo muy reducido de personas y que en los registros no hay inicios de sesión ni sesiones ajenas.

De ahí sale una versión que la propia Coldcard llama suposición: el acceso se habría conseguido del lado de la plataforma, mediante las herramientas administrativas de X, y no con las credenciales de la empresa. En la red circulan mensajes sobre la venta de ese tipo de acceso en mercados clandestinos, pero nadie ha mostrado un vínculo con este caso. En la mañana del 12 de octubre X no había explicado la causa.

Para quien tiene una billetera, la conclusión es incómoda y sencilla. La marca de verificación, la antigüedad de la cuenta y el número de seguidores no prueban que el post lo haya escrito la empresa.

Cómo distinguir una actualización real de una falsa

• La frase semilla no se escribe en sitios web. Ninguna actualización de firmware legítima lo pide. La frase se introduce solo en el propio dispositivo, y solo cuando tú decides restaurar la billetera.
• El firmware se descarga del sitio del fabricante. La dirección se escribe a mano o se abre desde tus marcadores, nunca desde el enlace de un post, un correo o un mensaje.
• La urgencia es una forma de presión. "De inmediato", "antes de que sea tarde", "quedan dos horas" buscan que no alcances a pensar. Un problema real no empeora en los diez minutos que lleva comprobarlo.
• La noticia se verifica en dos lugares. Si de un error crítico habla un único post y en el sitio de la empresa no hay nada, conviene esperar.
• La dirección se lee letra por letra. coldcardwallet.io parece creíble, pero es un dominio ajeno. Con la misma atención conviene verificar un exchange antes de enviar fondos.

La regla vale mucho más allá de Coldcard. Ni una billetera, ni una plataforma de trading, ni un exchange de criptomonedas te va a pedir la frase semilla. Dónde guardarla y qué hacer si se filtra lo explicamos en la guía cómo guardar la frase semilla.

Qué hacer si abriste el enlace

Si solo abriste la página y no escribiste nada, a tus monedas no les pasó nada: un sitio de phishing no puede sacar las claves de una billetera de hardware. Cierra la pestaña y no descargues nada de ahí.

Si escribiste la frase semilla, dala por comprometida. Hay que actuar enseguida:

1. En el propio dispositivo, con el firmware actualizado, crea una billetera nueva con una frase semilla nueva.
2. Pásale todas las monedas de la anterior. La rapidez importa más que la comisión: quien tiene tu frase está ocupado en lo mismo.
3. No vuelvas a usar la frase vieja, aunque no haya habido robo.

Y algo más. Después de casos así, a los afectados les escriben "especialistas en recuperación" y un supuesto "servicio de soporte". Es la segunda oleada de los mismos estafadores: el soporte real no escribe primero por mensaje privado ni pide la frase.

Cómo comprar bitcoin sin registro directo a tu billetera

El phishing va detrás de lo que se puede robar a distancia: una contraseña, un código que llega al correo, la frase semilla. Cuantas menos cuentas tengas alrededor de tus criptomonedas, menos lugares así hay.

En VertEXchange no hay cuenta alguna: no hacen falta correo, teléfono ni contraseña. Eliges el par, indicas la dirección de tu billetera y antes de enviar ves la tasa y el monto que vas a recibir. Las monedas van directo a tu dirección, VertEXchange no las guarda.

• La tasa fija se mantiene unos 15 minutos, mientras se confirma la transferencia.
• Puedes indicar una dirección de reembolso: ahí vuelven las monedas si el intercambio no se concreta.
• Los campos personales de la operación se eliminan 24 horas después de finalizada.
• Hay chat de soporte en cada página, y las consultas se resuelven con el código del intercambio.

Así puedes comprar bitcoin con USDT TRC20 directo a la dirección de tu billetera de hardware o cambiar ETH por BTC sin pasar por una plataforma de trading y sin panel de usuario.

Preguntas frecuentes

¿Hackearon la billetera Coldcard?

No. El 11 de octubre la afectada fue la cuenta en X, no los dispositivos ni el firmware. El error en la generación de frases semilla que recordaba el post falso se corrigió ya a mediados de 2026.

¿Los dueños de Coldcard tienen que volver a mover sus monedas?

Por este post, no. Debían moverlas quienes crearon su frase semilla con un firmware anterior a 5.6.0 (Mk4 y Mk5), 1.5.0Q (Q) o 4.2.0 (Mk3), y eso se hace en el propio dispositivo, no en un sitio web.

¿Cuál es el sitio oficial de Coldcard?

coldcard.com. Según la empresa, no tiene otros sitios oficiales.

¿Hubo robos por el post falso de Coldcard?

En la mañana del 12 de octubre de 2026 no hay pérdidas confirmadas.

¿Puede un sitio de phishing robar bitcoin de una billetera de hardware?

Por sí solo, no: las claves no salen del dispositivo. Las monedas se pierden solo si el dueño escribe la frase semilla en el sitio o confirma en el dispositivo una transacción ajena.

¿Cómo saber si un firmware es auténtico?

Descárgalo del sitio del fabricante abriendo la dirección a mano y comprueba la suma de verificación o la firma del archivo siguiendo las instrucciones del mismo sitio.