Una vulnerabilidad de seguridad que afecta a varias generaciones de monederos hardware de Coldcard ha dejado a los usuarios de bitcoin luchando por proteger sus fondos después de que los atacantes supuestamente robaran al menos 594 BTC, valorados en aproximadamente 38 millones de dólares a precios actuales. El fabricante, la empresa canadiense Coinkite, ha reconocido la vulnerabilidad y ha instado a los clientes afectados a migrar sus fondos utilizando semillas de recuperación recién generadas.
El problema afecta a frases de recuperación, comúnmente conocidas como palabras semilla, que se crearon en versiones específicas del firmware de Coldcard. Según Coinkite, las carteras generadas en el Mk3 con firmware 4.0.1 o posterior, así como ciertos dispositivos Mk4, Q y Mk5 antes del lanzamiento del firmware parcheado, podrían haber producido frases semilla con una aleatoriedad insuficiente. Si los atacantes pueden predecir esas palabras semilla, pueden restaurar la cartera en otro lugar y transferir la criptomoneda almacenada.
Coinkite ha lanzado actualizaciones de firmware para corregir el problema, pero la compañía advirtió que instalar la actualización por sí sola no es suficiente para proteger las carteras existentes. Los usuarios cuyas frases de recuperación se crearon usando firmware afectado deben generar una frase semilla completamente nueva y transferir su bitcoin a una cartera recién creada. La empresa ha publicado instrucciones de migración para clientes que considera que podrían estar en riesgo.
La advertencia también va más allá de los propios dispositivos Coldcard. Los ingenieros de seguridad de Block, la empresa detrás de la cartera de hardware Bitkey, señalaron que los usuarios siguen siendo vulnerables si importan una frase de recuperación creada originalmente en una Coldcard afectada a otra cartera. Como la semilla subyacente permanece sin cambios, moverla a otro hardware no elimina el riesgo. Varios otros fabricantes de monederos, incluidos Trezor, Blockstream, Foundation y Tangem, han aconsejado de forma similar a los clientes que previamente migraron frases de recuperación de Coldcard a crear nuevas carteras con semillas recién generadas.
Coinkite dijo que no era consciente del problema subyacente hasta hace poco, describiéndolo como una combinación de sutiles fallos de software que reducían la aleatoriedad utilizada durante la generación de semillas en ciertas versiones de firmware. La empresa considera que un atacante pudo explotar la debilidad prediciendo frases de recuperación y vaciando las carteras afectadas.
Mientras discutían cómo pudo haberse descubierto el fallo, Coinkite afirmó que no puede descartar la posibilidad de que las herramientas de inteligencia artificial ayudaran a analizar su código fuente públicamente disponible. La empresa subrayó que esto sigue siendo una suposición más que un hallazgo confirmado. Según Coinkite, recientemente utilizó un modelo avanzado de IA para revisar la misma base de código, pero el modelo no identificó la vulnerabilidad antes de que fuera descubierta.
El incidente ha reavivado el debate dentro de la comunidad Bitcoin sobre la importancia de proteger grandes depósitos de criptomonedas con monederos multifirma, que requieren la aprobación de múltiples dispositivos independientes antes de poder mover fondos. Los expertos en seguridad han instado a los usuarios afectados a no retrasar la migración de las carteras vulnerables, al tiempo que subrayan que crear una nueva frase de recuperación es la única forma fiable de eliminar el riesgo asociado al proceso de generación de semillas comprometido. La investigación sobre los ataques sigue en curso.