El ataque informático contra las carteras hardware Coldcard ha alcanzado ya los 114 millones de dólares en bitcoin robados, después de que este fin de semana se detectara una cuarta oleada con 462 nuevas víctimas. Así lo ha confirmado Galaxy Research, que cifra en más de 1.367 BTC el botín total acumulado desde el pasado jueves.
El origen del desastre es un fallo en el firmware de los dispositivos Coldcard Mk3, concretamente desde la versión 4.0.1 lanzada en marzo de 2021. Según ha reconocido el propio fabricante, Coinkite, el generador de números pseudoaleatorios utilizado para crear las claves privadas recurría a un algoritmo por software en lugar del generador aleatorio por hardware, pensado para ser impredecible. En términos prácticos, esto facilitaba que los atacantes pudieran deducir las frases semilla de 12 o 24 palabras que dan acceso total a los fondos.
La cuarta ola comenzó en la noche del domingo, cuando Alex Thorn, analista de Galaxy Research, detectó el movimiento de 388,9 bitcoins, equivalentes a unos 29 millones de dólares al cambio actual, en transacciones que con toda probabilidad forman parte del mismo ataque. Uno de los golpes más duros ha sido el vaciado de una dirección con 51 BTC, la mayor hasta la fecha según datos del equipo de seguridad de Trezor.
Ante la magnitud del incidente, Coinkite ha tomado medidas drásticas: ha destruido todo el inventario restante de dispositivos fabricados con el firmware vulnerable y ha paralizado los envíos. Además, la compañía emitió un comunicado en el que admitía que «el dinero que costó años ahorrar, se ha ido. La confianza que costó años construir, está rota. Para algunos, el daño es permanente». También ha reconocido que se están haciendo «preguntas difíciles» sobre su propio funcionamiento.
Mientras tanto, expertos y miembros de la comunidad bitcoin insisten en que los usuarios de Coldcard muevan sus fondos de inmediato a carteras que no estén comprometidas. La firma de pagos Block ha colaborado en la investigación y ha alertado de que los atacantes contaron con la ayuda de un gran proveedor de servicios blockchain para mover los fondos; ya se ha contactado con las autoridades federales estadounidenses.
Incluso las carteras frías, diseñadas para ser el último bastión de seguridad, pueden fallar si el código no es completamente transparente.
Un error de firmware que viene de lejos
El fallo se remonta a la versión 4.0.1 del Mk3, de marzo de 2021. Desde entonces, cualquier dispositivo que generara una semilla con ese firmware dependía de un PRNG por software, mucho más vulnerable que el TRNG por hardware que debía usarse. Es como si la combinación de una caja fuerte se generara con un patrón predecible en lugar de con números verdaderamente aleatorios. Coinkite ha admitido que todos los modelos son vulnerables, y que la vulnerabilidad pudo estar presente en cualquier Coldcard fabricada en ese período.
La cuarta ola eleva el botín a dimensiones inéditas
Con esta cuarta oleada, el robo total asciende a 1.367 BTC, lo que al precio actual supone más de 114 millones de dólares. La cifra de víctimas confirmadas se eleva a 462 solo en este último envite. La dirección con 51 BTC vaciada es, por ahora, el mayor golpe individual conocido. Cada nueva transacción que los investigadores de Galaxy Research detectan añade una capa de alarma en un sector que se enorgullece de su seguridad.
La paradoja de ‘no confíes, verifica’ y el futuro de las carteras frías
Este episodio expone una grieta incómoda en el mantra central de Bitcoin: «no confíes, verifica». Como ha señalado el desarrollador Jameson Lopp, el exploit demuestra los límites de ese principio cuando el código propietario de una cartera puede ocultar fallos durante años. Si el firmware no es auditable por la comunidad, la confianza se deposita íntegramente en el fabricante. Y Coldcard, pese a su reputación, ha fallado estrepitosamente. La lección es dura, pero útil: la próxima generación de carteras frías tendrá que abrazar la transparencia radical y esquemas de seguridad verificables en cadena. Mientras tanto, los usuarios de Coldcard deberían migrar sus fondos sin demora y replantearse cualquier dispositivo que no ofrezca garantías de aleatoriedad real.
