Alertan a usuarios de Coldcard Mk3 tras el vaciado de 594 BTC desde 500 direcciones

Coinkite, la firma canadiense responsable de la cartera hardware Coldcard, ha advertido de que los fondos en Bitcoin podrían estar en riesgo si la semilla del monedero se generó con determinadas versiones de firmware afectadas. La compañía indica que el problema alcanza a todas las versiones de firmware de Mk3 desde la 4.0.1, publicada en marzo de 2021, y lo vincula a la entropía generada por el propio dispositivo durante la creación de semillas. La alerta también incluye semillas creadas en Mk4 y Mk5 con versiones anteriores a la 5.6.0, y en el modelo Q con versiones previas a la 1.5.0Q. Coinkite matiza que el impacto en estos modelos sería menor, pero lo considera igualmente grave. Según la empresa, las semillas afectadas tendrían alrededor de 72 bits de entropía, frente a los 128 bits esperados. En cambio, TAPSIGNER, OPENDIME y SATSCARD no estarían afectados al utilizar bases de código distintas. Coinkite recomienda a quienes puedan verse afectados trasladar los fondos a una nueva semilla generada en un dispositivo no afectado. Para Mk4 y Mk5, aconseja actualizar primero al firmware 5.6.0 o posterior; para Q, instalar 1.5.0Q o posterior antes de crear la semilla de reemplazo. También sugiere hacer copia de seguridad y verificar la nueva semilla, confirmar en el dispositivo una nueva dirección de recepción y realizar una transacción de prueba pequeña antes de mover el resto de los fondos. Si solo se dispone de un Mk3, plantea como medida temporal usar una passphrase BIP39 fuerte y única, además de comprobar cuidadosamente la huella (fingerprint) del monedero y la dirección de recepción. El aviso llega después de que el 30 de julio se difundieran varios reportes sobre fondos drenados desde monederos Coldcard. Atlas21 señaló que una operación automatizada barrió 500 direcciones de firma única (single-signature) a lo largo de cuatro bloques consecutivos, del 960188 al 960191. Las transacciones movieron 1.324 UTXO por un total de 594,5 BTC, valorados en torno a 38 millones de dólares a precios actuales. Los indicios apuntan a claves privadas débiles generadas en el momento de crear los monederos. No se registraron víctimas entre monederos multisig ni Taproot. La pérdida mediana fue de 0,41 BTC. Según Atlas21, 110 afectados perdieron más de un bitcoin. El mayor robo fue de 29,9 BTC, y el coste en comisiones de la operación rondó los 0,044 BTC. El primer aviso público habría llegado a través de un afectado en Reddit, que afirmó que su Coldcard generó la frase semilla de 24 palabras en 2021 y que esa semilla nunca se introdujo en un ordenador. Pese al vaciado masivo, el precio de bitcoin apenas reaccionó y siguió negociándose cerca de los 64.000 dólares.