Casi la mitad del botín de la tercera oleada del ataque a Coldcard ya está en movimiento. Según los análisis on-chain que hemos podido reconstruir, el 45% del bitcoin sustraído en esa fase ha salido de las direcciones controladas por el atacante y parte de esos fondos ha entrado en mezcladores tipo CoinJoin. El resto, la mayoría del botín total, permanece intacto.

Los datos: cuánto falta y cuánto se ha movido

De todo lo robado en las distintas oleadas del ataque, el 82% sigue en carteras controladas por el atacante. Solo el 18% ha sido movido en un intento de lavado. Pero lo significativo es la aceleración de la tercera oleada: el 45% de ese lote concreto ya ha circulado, utilizándose herramientas de anonimización para cortar la trazabilidad.

Los datos no revelan ni el monto total exacto ni el número de transacciones, pero el patrón confirma que el responsable tiene un plan de lavado activo y paulatino. No ha movido todo de golpe, sino en tandas, tratando de evitar una señal demasiado visible que haga que los exchanges o los rastreadores bloqueen cuanto antes los fondos.

Qué es un CoinJoin y por qué complica la investigación

Un CoinJoin es una técnica en la que múltiples usuarios combinan sus transacciones en una sola operación conjunta, creando una especie de 'cóctel' de fondos. Al terminarse, es difícil saber qué salida pertenece a quién, incluso si el volumen coincide. Esto complica el trabajo de empresas de análisis forense y de las fuerzas de seguridad que siguen los bitcoins desde las direcciones comprometidas.

Que el atacante de Coldcard haya recurrido a los CoinJoins es una evidencia clara de su intención de lavar el dinero robado de forma deliberada. No hablamos de un movimiento torpe ni improvisado.

Fondos robados, investigación en marcha

Aunque en esta web no podemos poner nombre ni confirmar procedimientos concretos de una investigación en curso, el movimiento de fondos delictivos suele activar los protocolos habituales: vigilancia de direcciones, alertas a los principales exchanges y geolocalización en tiempo real. El hecho de que el botín se maneje con servicios de anonimato complica esos procesos.

Los ciberdelincuentes suelen jugar con la paciencia. Forzar la salida de los fondos en un corto periodo incrementa el riesgo de ser interceptados. De ahí que el movimiento sea gradual: mueven una parte, esperan a que el radón se normalice y repiten.

¿Qué significa esto para el inversor particular?

Para el usuario común, estos episodios sirven de recordatorio de que los fondos en bolsas centralizadas están bajo el control de terceros, pero cuando tú guardas tus claves privadas en una cartera física, la responsabilidad es tuya. Coldcard es una de las carteras más utilizadas por usuarios avanzados y por un núcleo de neófitos que se pasa a autogestión. Las vulnerabilidades en estos dispositivos, incluso si después son exageradas por la comunidad, tienen un efecto directo sobre la confianza en la 'seguridad total' que se presupone a algunas marcas.

La buena práctica sigue siendo revisar siempre el origen del firmware, comprar el hardware en canales oficiales y, muy importante, mantener las copias de seguridad de las frases semilla en un lugar lo más offline posible.

Lo que deberías observar esta semana

Conviene prestar atención a la evolución de esa 'ola 3' y a si el resto del botín comienza a moverse, porque eso podría provocar presión de venta en un precio que ya arrastra mucha incertidumbre. El bitcoin coquetea con soportes clave y cada anuncio de liquidaciones por parte de la justicia puede desatar nerviosismo en un mercado que entiende perfectamente el lenguaje de las olas de venta.

Además, es probable que en los próximos días veamos respuestas o detenciones, si la brigada de delitos tecnológicos de algún país ya ha conseguido encajar todo el rompecabezas. Que el atacante haya querido mover los fondos en septiembre podría ser también una estrategia para estrangular los mecanismos de respuesta de algunas autoridades en plena vuelta a la actividad tras las vacaciones.

Entre la trazabilidad y el secreto

Más allá del caso particular, esto nos demuestra cómo la línea entre un activo inmutable (como el Bitcoin) y lo inmutable es más fina de lo que parece: incluso la capa de privacidad 'extra' de CoinJoin no garantiza que un régimen judicial no pueda identificar el origen, sobre todo si hablamos de una marca, un historial previo y un vecindario digital concreto.