{"id":1488,"date":"2026-07-10T10:01:17","date_gmt":"2026-07-10T10:01:17","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/10\/los-atacantes-aprovechan-la-vulnerabilidad-ill-bloom-para-extraer-31-millones-de-dolares-de-las-carteras-de-criptomonedas-cyberdefensa-mx\/"},"modified":"2026-07-10T10:01:17","modified_gmt":"2026-07-10T10:01:17","slug":"los-atacantes-aprovechan-la-vulnerabilidad-ill-bloom-para-extraer-31-millones-de-dolares-de-las-carteras-de-criptomonedas-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/10\/los-atacantes-aprovechan-la-vulnerabilidad-ill-bloom-para-extraer-31-millones-de-dolares-de-las-carteras-de-criptomonedas-cyberdefensa-mx\/","title":{"rendered":"Los atacantes aprovechan la vulnerabilidad ‘Ill Bloom’ para extraer 3,1 millones de d\u00f3lares de las carteras de criptomonedas \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Empresa de seguridad Coinspectar <\/strong>ha revelado una falla en la billetera criptogr\u00e1fica que llama Floraci\u00f3n enferma<\/strong>y los atacantes ya lo est\u00e1n utilizando. El error est\u00e1 en c\u00f3mo algunos programas de billetera generaron su frase de recuperaci\u00f3n, las palabras que controlan el dinero. Cuando esa frase se hace con una aleatoriedad d\u00e9bil, un atacante puede descifrarla y tomar todo lo que controla.<\/p>\n

Coinspect ha confirmado un barrido coordinado el 27 de mayo que dren\u00f3 alrededor de $3,1 millones de 431 billeteras. Dice que desde entonces se han movido aproximadamente 2 millones de d\u00f3lares m\u00e1s de carteras expuestas. A\u00fan no est\u00e1 claro en qu\u00e9 medida fue robo y en qu\u00e9 medida los propietarios trasladaron sus propios fondos a un lugar seguro.<\/p>\n

Como dice la empresa, \u00absi los fondos se movieron recientemente sin su permiso, esta vulnerabilidad puede ser la raz\u00f3n\u00bb.<\/p>\n

La mayor\u00eda de la gente probablemente est\u00e9 bien. Coinspectar<\/a> dice que las billeteras creadas en dispositivos de hardware no se ven afectadas, y la mayor\u00eda de las billeteras de software convencionales tampoco. El riesgo real reside en las billeteras m\u00f3viles m\u00e1s antiguas o menos conocidas, algunas de las cuales se remontan a 2018.<\/p>\n

Coinspect no ha nombrado las aplicaciones involucradas, por lo que la \u00fanica forma de saberlo es comprobarlo. Pegue la direcci\u00f3n de su billetera p\u00fablica en el verificador gratuito en illbloom.org<\/a>. Una coincidencia significa que la frase de recuperaci\u00f3n debe considerarse comprometida, as\u00ed que mueva sus fondos a una nueva billetera.<\/p>\n

lo que realmente se rompi\u00f3<\/h2>\n

Cada billetera de autocustodia comienza con una frase de recuperaci\u00f3n, generalmente de 12 o 24 palabras, tambi\u00e9n llamada frase inicial. Esas palabras deben ser elegidas al azar de un grupo tan grande que adivinarlas es imposible. Las carteras afectadas no fueron lo suficientemente aleatorias. Su software utiliz\u00f3 un generador de n\u00fameros aleatorios d\u00e9bil cuando cre\u00f3 la frase.<\/p>\n

Eso redujo el conjunto de posibles frases de astron\u00f3micamente grande a un rango que un atacante podr\u00eda buscar. Coinspect no ha publicado exactamente qu\u00e9 tan peque\u00f1o.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Coinspect dice que reconstruy\u00f3 el ataque de un extremo a otro. Trabaj\u00f3 con el conjunto completo de frases que el generador d\u00e9bil pod\u00eda producir, deriv\u00f3 las direcciones de billetera a las que conduce cada una y luego verific\u00f3 los registros p\u00fablicos de blockchain para las direcciones que a\u00fan contienen fondos.<\/p>\n

El resultado es una lista de vigilancia de carteras que nacieron d\u00e9biles, independientemente de qu\u00e9 aplicaci\u00f3n las gener\u00f3.<\/p>\n

El robo, en cifras<\/h2>\n

Hasta el 30 de junio, Coinspect hab\u00eda rastreado 2114 direcciones expuestas con actividad en cadena en Bitcoin, Ethereum, Rootstock, Tron y Polygon. La redada del 27 de mayo dren\u00f3 alrededor de 3,1 millones de d\u00f3lares de 431 de ellos. Bitcoin se llev\u00f3 la peor parte con aproximadamente 2,57 millones de d\u00f3lares, y una sola direcci\u00f3n de Bitcoin perdi\u00f3 m\u00e1s de 1,1 millones de d\u00f3lares por s\u00ed sola.<\/p>\n

Coinspect pudo decir que se trataba de un robo coordinado porque cientos de billeteras no relacionadas enviaron sus saldos a las mismas pocas direcciones de cobro en cuesti\u00f3n de horas.<\/p>\n

Contando estos \u00faltimos movimientos, m\u00e1s de 5 millones de d\u00f3lares han salido de estas billeteras desde el 27 de mayo. Coinspect llama a eso un piso, no un techo: hasta ahora solo ha mapeado este conjunto de direcciones y espera m\u00e1s. En su pico de 2022, el mismo conjunto val\u00eda 12,56 millones de d\u00f3lares reconstruidos, aunque la mayor parte de ese valor ya hab\u00eda ca\u00eddo con el mercado antes de la barrida del 27 de mayo.<\/p>\n

que hacer<\/h2>\n

El verificador en illbloom.org compara una direcci\u00f3n de billetera p\u00fablica con la lista de Coinspect de billeteras vulnerables conocidas. Acepta direcciones estilo Bitcoin, Tron, Solana y Ethereum (Ethereum, Polygon, BNB y otras cadenas EVM).<\/p>\n

Una frase d\u00e9bil puede exponer fondos en cada cadena que controla, as\u00ed que verifique cada direcci\u00f3n vinculada a la misma semilla, no solo las que ya est\u00e1n agotadas. Un resultado limpio no es garant\u00eda, ya que la lista est\u00e1 incompleta, pero una coincidencia es una advertencia clara.<\/p>\n

Si su direcci\u00f3n coincide:<\/p>\n

    \n
  1. Trate la frase de recuperaci\u00f3n como comprometida. El dinero no est\u00e1 seguro s\u00f3lo porque a\u00fan no se ha movido.<\/li>\n
  2. Crea una billetera nueva con una frase nueva. Deber\u00eda ver un conjunto nuevo de 12 a 24 palabras. Si una aplicaci\u00f3n te pide que escribas tu frase anterior, est\u00e1s reabriendo la billetera d\u00e9bil, no creando una nueva.<\/li>\n
  3. Mueva sus fondos a la nueva billetera. Reinstalar la aplicaci\u00f3n anterior o importar la misma frase en otro lugar no cambia nada.<\/li>\n<\/ol>\n

    Una advertencia m\u00e1s. Estafas como esta atraen a estafadores que se ofrecen a \u00abrescatar\u00bb su dinero. Un verdadero inspector nunca necesita un secreto. Coinspect dice que \u00abnunca solicitar\u00e1 frases iniciales, claves privadas, firmas o aprobaciones, ni pedir\u00e1 a los usuarios que env\u00eden fondos para ‘recuperar’ o proteger una billetera\u00bb.<\/p>\n

    Nunca escriba su frase de recuperaci\u00f3n, clave privada, contrase\u00f1a o archivo de respaldo en ning\u00fan sitio o mensaje. Una billetera de hardware es el lugar m\u00e1s seguro para mover fondos, pero genera una frase nueva en el dispositivo en lugar de importar la anterior.<\/p>\n

    Hemos visto esto antes<\/h2>\n

    Se trata de un viejo fracaso con un nuevo nombre. Coinspect tom\u00f3 \u00abIll Bloom\u00bb de \u00abillness Blossom\u00bb, la primera frase d\u00e9bil que produce su generador, de la misma manera leche triste<\/a> recibi\u00f3 el nombre de \u00ableche triste\u00bb en 2023. Ese error (CVE-2023-39910), en la herramienta de l\u00ednea de comandos Libbitcoin Explorer, permiti\u00f3 a los ladrones robar millones de una sola vez en julio.<\/p>\n

    Un primo cercano (CVE-2023-31290) golpe\u00f3 el Extensi\u00f3n del navegador Trust Wallet<\/a> el mismo a\u00f1o, descifrable en menos de un d\u00eda.<\/p>\n

    \n
    \"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

    La misma trampa atrap\u00f3 a Randstorm, el defecto de aleatoriedad d\u00e9bil que THN cubri\u00f3 en 2023, lo que dej\u00f3 a las carteras de Bitcoin fabricadas entre 2011 y 2015 descifrables porque el c\u00f3digo del navegador detr\u00e1s de ellas usaba n\u00fameros aleatorios deficientes.<\/p>\n

    Los investigadores notaron entonces que la falla se hab\u00eda grabado en esas billeteras para siempre, y la \u00fanica soluci\u00f3n era mover los fondos a una nueva billetera hecha con un mejor software. Esa es exactamente la soluci\u00f3n para Ill Bloom.<\/p>\n

    Cada pocos a\u00f1os, el generador de n\u00fameros aleatorios de una billetera resulta ser predecible. Las carteras que parec\u00edan seguras se vuelven agotables. La soluci\u00f3n es siempre la misma: trasladar el dinero a un lugar nuevo. La billetera se ve bien y las palabras parecen aleatorias, pero la m\u00e1quina que las eligi\u00f3 era predecible. Una clave predecible apenas es una clave.<\/p>\n

    \u00bfQu\u00e9 sigue?<\/h2>\n

    La pregunta abierta ahora es qu\u00e9 aplicaciones generaron las frases d\u00e9biles. Una direcci\u00f3n p\u00fablica no revela qui\u00e9n la cre\u00f3, por lo que Coinspect est\u00e1 pidiendo a los usuarios coincidentes que informen lo que usaron y transmitiendo los hallazgos a los proveedores y equipos que pueden actuar en consecuencia.<\/p>\n

    The Hacker News se comunic\u00f3 con Coinspect para comentar qu\u00e9 aplicaciones de billetera produjeron las frases de recuperaci\u00f3n d\u00e9biles y el alcance del conjunto expuesto, y actualizar\u00e1 esta historia con cualquier respuesta\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

    Empresa de seguridad Coinspectar ha revelado una falla en la billetera criptogr\u00e1fica que llama Floraci\u00f3n enfermay los atacantes ya lo est\u00e1n utilizando. El error est\u00e1 en c\u00f3mo algunos programas de billetera generaron su frase de recuperaci\u00f3n, las palabras que controlan el dinero. Cuando esa frase se hace con una aleatoriedad d\u00e9bil, un atacante puede descifrarla […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[466,151,3661,788,2764,24,240,1054,3660,95,52,239,36,313],"class_list":["post-1488","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-aprovechan","tag-atacantes","tag-bloom","tag-carteras","tag-criptomonedas","tag-cyberdefensa-mx","tag-dolares","tag-extraer","tag-ill","tag-las","tag-los","tag-millones","tag-para","tag-vulnerabilidad"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1488","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1488"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1488\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1488"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1488"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1488"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}