Auditoría récord con IA revela 85 fallos críticos en el ecosistema Bitcoin tras el devastador hackeo a Coldcard

El hackeo a las carteras hardware Coldcard en julio de 2026 fue uno de los incidentes de seguridad más devastadores en la historia de Bitcoin: los atacantes robaron más de $116 millones de más de 5,200 billeteras aprovechando un error de firmware con años de antigüedad. Apenas unos días después, un grupo voluntario de 16 investigadores de seguridad lanzó una auditoría masiva del ecosistema de código abierto de Bitcoin asistida por inteligencia artificial. Lo que encontraron —y lo que sucedió con el acceso del proyecto a los modelos de IA más avanzados— se convirtió en el nuevo foco de debate sobre la IA y la ciberseguridad.

¿Qué fue la campaña del Bitcoin Red Team?

El Bitcoin Red Team es una iniciativa de seguridad voluntaria coliderada por el desarrollador seudónimo de Bitcoin Calle y Rob Hamilton, CEO de la empresa de custodia de Bitcoin AnchorWatch . A principios de agosto de 2026, el grupo lanzó un barrido de seguridad ultrarrápido asistido por IA en todo el ecosistema de código abierto de Bitcoin. En aproximadamente 27.5 a 30 horas, 16 investigadores de seguridad utilizaron modelos de IA para auditar 390 repositorios de código abierto de Bitcoin, presentando 4,962 hallazgos de vulnerabilidades . La organización sin fines de lucro OpenSats cubrió los costos de computación de IA, que ascendieron a aproximadamente $40,000 en total, unos $10,000 por día .

Cómo respondió al hackeo de la cartera Coldcard

La campaña fue una respuesta directa al exploit de la cartera hardware Coldcard de julio de 2026 . Esto es lo que ocurrió con ese hackeo:

• La vulnerabilidad: Un error de firmware introducido en la versión 4.0.0 del firmware de Coldcard (marzo de 2021) provocó que el dispositivo omitiera su generador de números aleatorios por hardware dedicado durante la creación de frases semilla . Esto hizo que las frases semilla de las billeteras fueran predecibles: la fortaleza de la clave se redujo de 128 bits a tan solo 40 bits .
• El ataque: A partir del 30 de julio de 2026, los atacantes explotaron esta falla para drenar fondos de miles de billeteras. La primera ola afectó a 1,196 direcciones en solo 41 minutos, robando 1,082.65 BTC (~$70 millones en ese momento) .
• Pérdidas totales: Múltiples olas elevaron el total a más de $116 millones en más de 5,200 direcciones, con algunas estimaciones que superan los $130 millones a medida que el ataque continuaba . Al menos una docena de hackers diferentes estuvieron involucrados .
• Respuesta de Coinkite: La empresa instó a los usuarios a actualizar el firmware y mover los fondos, pero para entonces gran parte del daño ya estaba hecho .

En respuesta, el Bitcoin Red Team lanzó su auditoría para encontrar errores similares en los generadores de números aleatorios, prácticas criptográficas débiles y otras fallas sistémicas antes de que los atacantes pudieran explotarlas .

Principales hallazgos y métodos

Hallazgos

Métrica	Número
Hallazgos totales presentados	4,962
Problemas de gravedad crítica	85
Problemas de gravedad alta	635
Combinados de alta o crítica	720
Hallazgos reproducibles en revisión	21.4%
Repositorios auditados	390
Tamaño del equipo	16 investigadores

El gran volumen —casi 5,000 informes en un día— creó un importante problema de triaje para los mantenedores posteriores . Solo aproximadamente uno de cada cinco hallazgos se confirmó como reproducible, pero el grupo argumentó que señalar problemas límite estaba justificado dada la gravedad del ataque de Coldcard .

Métodos

• El equipo utilizó modelos de IA de peso abierto para escanear bases de código en busca de patrones de vulnerabilidad conocidos, debilidades criptográficas y errores lógicos .
• Investigadores humanos guiaron la IA, validaron los resultados y presentaron informes de divulgación responsable .
• El grupo planea publicar como código abierto su arnés de seguridad de IA para que la comunidad en general pueda continuar con el escaneo automatizado .
• Se centraron en carteras, bibliotecas criptográficas y proyectos de infraestructura de Bitcoin, el tipo de código que, si es defectuoso, podría provocar otra pérdida a escala de Coldcard .

Por qué OpenAI revocó el acceso del investigador principal a mitad del proyecto

Rob Hamilton (CEO de AnchorWatch y colíder de la campaña) se había inscrito en el programa "Trust Cyber" de OpenAI, que concede a investigadores de seguridad aprobados acceso subsidiado a la API para la investigación de vulnerabilidades . El 8 y 9 de agosto de 2026, después de que ya hubiera integrado el programa en su flujo de trabajo y hubiera presentado divulgaciones válidas, OpenAI revocó su acceso sin explicación .

• Hamilton declaró públicamente que fue "bloqueado para seguir haciendo análisis en un código base sobre el que ya había informado de manera responsable y del que había recibido confirmación de que tenía hallazgos legítimos" .
• La revocación obligó al Bitcoin Red Team a recurrir a modelos de IA menos restrictivos, incluyendo alternativas chinas de peso abierto, un cambio que fue ampliamente señalado y criticado como un revés para la competitividad de la IA estadounidense en la investigación de seguridad .
• OpenAI no ha detallado públicamente sus razones. Las preguntas frecuentes del Programa de Acceso para Investigadores de la compañía señalan que los créditos se conceden a su discreción y pueden retirarse, pero no se ha citado ninguna violación de política específica por parte de Hamilton .