Plus Ultra Internacional | Derecho de activos digitales

A finales de julio de 2026 ciberdelincuentes lanzaron ataques durante días contra un dispositivo de seguridad para criptomonedas — una supuesta fortaleza impenetrable para los activos digitales — y logran robar más de 130 millones de dólares en activos digitales. O al menos eso es lo que se sabe hasta el momento, porque aún se está investigando lo ocurrido. Un pequeño error, un descuido menor, una pequeña vulnerabilidad, un cero mal puesto, tan solo un deslice fue más que suficiente y todo lo que necesitaron los ciberdelincuentes.

Los ciberdelincuentes encontraron una vulnerabilidad en un dispositivo de seguridad para proteger un activo digital llamado «bitcoin» (o «moneda digital»). El dispositivo, denominado «Coldcard» y comercializado por la empresa canadiense Coinkite, genera códigos de seguridad para acceder y proteger a dicha criptomoneda. La idea era, según el argumento de venta, que esos códigos de seguridad del dispositivo no se podían descifrar, haciendo del dispositivo «ultra seguro» una supuesta fortaleza impenetrable. Ahora resulta lo contrario.

Romper el código de seguridad es romper la protección y la barrera de acceso a dicha criptomoneda. Un error en los ajustes generó la vulnerabilidad en el dispositivo mal ajustado que permitió un robo masivo por los ciberdelincuentes. Según reportan, el error que causó la vulnerabilidad ha estado en el código de la programación de dicho dispositivo desde el año 2021 — ya por cinco años — pero en todos esos años nunca fue descubierto. Ahora Coinkite tiene un inconveniente por su dispositivo.

Según una investigación de la empresa estadounidense Galaxy Research («Galaxy»), los ciberdelincuentes descubrieron y explotaron esa vulnerabilidad, que les permitió llevar a cabo un robo masivo de dicho activo digital. Según los informes que Galaxy recibió de las víctimas hasta el 7 de agosto de 2026, robaron unos 1719 bitcoins con un valor total de más de 130 millones de dólares. Los delincuentes robaron de unas 7300 direcciones de bitcoin en 3 olas de ataques confirmadas y unos 14 incidentes menores. En un ataque en la madrugada del 30 de julio de 2026 saquearon 1196 direcciones vaciándolas por completo en apenas 41 minutos, robándose 1.082,65 de bitcoins por un valor de aproximadamente 70,2 millones de dólares estadounidenses. Las cifras de los daños son estimaciones de Galaxy, porque la investigación sigue en curso. Como la investigación sigue, la cifra total puede ser más alta todavía. Se desconocen las identidades de los atacantes.

Para más detalles tecnológicos, véase la explicación técnica más detallada de la empresa canadiense Coinkite. La empresa advierte que dicha vulnerabilidad es «una advertencia, no solo para nuestra empresa, sino para todas las empresas que crean dispositivos y aplicaciones para bitcoin. Y estamos publicando esto ahora, mientras que los hechos aún son recientes, pues las demás empresas necesitan tiempo para verificar su propio código para prevenir daños».

Cabe hacer hincapié en lo que dice Coinkite sobre el uso de inteligencia artificial en la revisión de su código de programación del dispositivo: que ninguno de los modelos más avanzados de inteligencia artificial descubrió la vulnerabilidad. «Ninguno la detectó». Si ni uno se percató del peligro, el uso de los modelos más avanzados de inteligencia artificial para la revisión de códigos de programación es otro riesgo importante. La empresa canadiense añade: «Eso es motivo para nosotros — y lo debe ser para cualquiera que use herramientas de inteligencia artificial — ser específicos en lo que sí se ha descubierto hasta el momento y lo que quizás no fue descubierto».

Es por eso que Coinkite advierte a los usuarios que todavía corren riesgos de que se les roben sus activos digitales. La empresa urge a los usuarios — en letra negrita y subrayada — poner sus fondos en un lugar seguro o una nueva cartera digital «ya mismo».

Y así quedan expuestos los defectos, las vulnerabilidades y los argumentos de venta relativos a las supuestas ventajas de los activos digitales: que serían intrazables, intocables, indescifrables y ultra seguros. Puede ser así, pero siempre es hasta el momento que los delincuentes demuestran lo contrario. Y ellos siempre vienen, como se puede ver, «como ladrón en la noche», literalmente.

Lo único que necesitan hacer los gobiernos es ponerse cómodos, tomarse su agua de coco, sintonizar DJ Plus Ultra Colombia — obviamente — y simplemente disfrutar y observar cómo en cada ataque de piratería tecnológica los delincuentes identifican y exponen las vulnerabilidades y debilidades en los sistemas de activos digitales para así aprender de los errores de los demás y crear un sistema de divisas digitales mejor.