¿Qué es una billetera Bitcoin aislada del aire? Por qué el exploit de Coldcard cambia la conversación sobre la seguridad offline

Si has pasado tiempo en el mundo de las criptomonedas, probablemente hayas escuchado el dicho: "No tus llaves, no tus monedas". La frase refleja la idea de que quien controla las claves privadas de una cartera controla en última instancia las criptomonedas que contiene.

Una cartera aislada lleva esa filosofía un paso más allá al mantener esas claves privadas completamente aisladas de internet. Estas carteras están diseñadas para ser esencialmente el nivel más alto de seguridad que un titular de criptomonedas individual puede obtener, lo que hace que el fiasco de Coldcard, una explotación que ha resultado en pérdidas totales de 114 millones de dólares en Bitcoin y contando, sea especialmente angustiante para los usuarios afectados.

¿Qué es una cartera de criptomonedas?

A pesar de su nombre, las carteras de criptomonedas no almacenan realmente Bitcoin, Ethereum u otros activos digitales. En cambio, las carteras almacenan las claves públicas y privadas que te permiten acceder y mover fondos registrados en una cadena de bloques.

Una clave pública es similar a un número de cuenta que otros pueden usar para enviar criptomonedas. Una clave privada, por otro lado, actúa como una contraseña o firma digital que autoriza transacciones. Cualquiera que obtenga acceso a esa clave privada puede controlar los activos asociados con ella.

Las carteras de criptomonedas pueden presentarse en muchas formas, incluyendo carteras de papel reales (es decir, una copia impresa o escrita a mano de tu clave privada o frase de recuperación), aplicaciones de software, carteras móviles y dispositivos de hardware. También se pueden dividir en dos grandes categorías: carteras de custodia y no custodiales.

Con las carteras de custodia, un tercero guarda tus claves privadas en tu nombre. Ese es el caso cuando, por ejemplo, almacenas tu Bitcoin, Ethereum, Solana u otros activos digitales con Coinbase u otro intercambio centralizado. Las carteras no custodiales, también conocidas como carteras de autocustodia, ponen al usuario en control total de esas claves, junto con la responsabilidad de protegerlas.

¿Qué es una billetera aislada?

Una billetera aislada es un tipo de billetera no custodiada diseñada para permanecer completamente desconectada de Internet y de toda comunicación inalámbrica, incluyendo Wi-Fi, Bluetooth y NFC.

La "brecha de aire" se refiere a la separación física entre la billetera y las redes en línea. Debido a que el dispositivo nunca se conecta a Internet, presenta un objetivo mucho más pequeño para los hackers, malware y ataques de phishing.

¿Quién fabrica billeteras aisladas?

Varias empresas fabrican billeteras de hardware diseñadas específicamente para operar sin una conexión directa a Internet o inalámbrica.

Entre las más conocidas se encuentran ELLIPAL, cuyas billeteras Titan utilizan códigos QR en lugar de USB o Bluetooth; Keystone, que también se basa en códigos QR; Foundation Devices, fabricante de la billetera Passport centrada en Bitcoin; Blockstream, cuya billetera Jade admite transacciones de Bitcoin totalmente aisladas mediante códigos QR; y, sí, incluso Coldcard.

Coldcard es una billetera solo de Bitcoin que admite firma fuera de línea mediante tarjetas microSD y códigos QR opcionales, y es el objetivo de una reciente explotación de firmware que ha resultado en más de $100 millones en fondos de usuarios robados hasta ahora.

Si bien empresas como Ledger y Trezor también fabrican billeteras de hardware, sus dispositivos típicamente se conectan mediante USB o Bluetooth durante el uso normal. Las billeteras aisladas, por el contrario, están diseñadas desde el principio para mantener las claves privadas aisladas de Internet. Pero eso no significa que sean inmunes a posibles explotaciones. Como los expertos en seguridad se han apresurado a recordar a los usuarios recientemente, ninguna opción es 100% segura.

¿Son más seguras las billeteras aisladas?

Mantener una billetera permanentemente fuera de línea reduce drásticamente el riesgo de ataques remotos. El malware no puede acceder directamente a una billetera que nunca se conecta a Internet, y los hackers no pueden explotar conexiones de red que no existen.

Eso no significa que las billeteras aisladas sean inmunes a todas las amenazas.

Los usuarios aún deben proteger su frase de recuperación, verificar los detalles de la transacción antes de firmar y mantener el dispositivo físico seguro. Perder la frase de recuperación—o que sea robada—puede comprometer permanentemente el acceso a una billetera. Del mismo modo, alguien con acceso físico al dispositivo aún podría atacarlo dependiendo de sus características de seguridad.

La compensación es la conveniencia. Enviar fondos generalmente implica escanear códigos QR o transferir archivos entre dispositivos, lo que hace que el proceso sea más lento que usar una billetera de software estándar o una cuenta de intercambio.

Un recordatorio reciente de que ninguna billetera es perfecta

Eventos recientes han demostrado que incluso las billeteras con espacio de aire pueden contener fallas críticas.

A finales de julio de 2026, el fabricante de billeteras de hardware de Bitcoin, Coinkite, reveló que un error de compilación del firmware introducido en marzo de 2021 causó que algunas billeteras Coldcard generaran frases semilla a partir de un grupo de valores posibles mucho más pequeño de lo previsto. Eso redujo la aleatoriedad que protege las claves privadas de los usuarios, haciéndolos vulnerables a atacantes que pudieran adivinarlas—o usar IA para adivinarlas mucho más rápido de lo que podrían hacerlo manualmente.

Eso es tan malo como suena. De nuevo, como recordatorio, si alguien más tiene tu clave privada—ya sea porque no se aseguró adecuadamente, o fuiste víctima de un hackeo o estafa, o porque el atacante simplemente adivinó correctamente usando IA u otro software—ahora tiene control de todos los fondos asociados con esa dirección.

Entonces, la lección difícil aquí para los tenedores de criptomonedas conscientes de la seguridad es: aunque las billeteras con espacio de aire nunca toquen internet, los inversores que las usan aún dependen del fabricante de la billetera de hardware para su seguridad individual. Y los humanos aún pueden cometer errores.

Investigadores de Galaxy Research dijeron que la explotación de Coldcard se desarrolló en múltiples oleadas, con pérdidas observadas que crecieron de aproximadamente $88 millones a casi $114 millones en Bitcoin en cuestión de días. El incidente llevó a muchos usuarios de Coldcard a mover sus Bitcoin después de que los investigadores advirtieran que direcciones vulnerables adicionales aún podrían ser atacadas.

La brecha fue especialmente notable porque Coldcard, introducido en 2017, ha sido considerado durante mucho tiempo una de las billeteras de hardware de Bitcoin más centradas en la seguridad.

El incidente resalta que mantener una billetera fuera de línea protege contra muchas amenazas en línea, pero no puede eliminar todos los riesgos. La seguridad de una billetera también depende de la calidad de su hardware, firmware, generación de números aleatorios y prácticas de desarrollo de software. Un espacio de aire es una capa importante de defensa—no una garantía de que un dispositivo esté libre de vulnerabilidades.

Una forma de ayudar a mitigar los riesgos potenciales, según los expertos en seguridad, es evitar puntos únicos de falla—es decir, no mantener todas tus criptomonedas en un solo lugar.