Roban millones en bitcoin al aprovechar una vulnerabilidad en las semillas de algunas Coldcard

Un atacante aprovechó la debilidad de las semillas de recuperación generadas por determinados monederos físicos Coldcard y robó bitcoin por un importe de decenas de millones de dólares el 30 de julio, afectando a cientos de direcciones. Según un análisis en profundidad de Galaxy Research, el núcleo del robo se ejecutó en una ráfaga coordinada de unos 25 minutos. Un examen más amplio vinculó después cerca de 1.196 direcciones y hasta 1.083 BTC —valorados en torno a 70 millones de dólares— con una actividad que se extendió aproximadamente 41 minutos. Las cifras podrían variar a medida que continúe el rastreo de transacciones en la blockchain pública de Bitcoin. El problema afecta sobre todo a tenedores de largo plazo que generaron su semilla de recuperación en dispositivos Coldcard con firmware vulnerable publicado desde marzo de 2021. Coldcard es un monedero "air-gapped" del fabricante canadiense Coinkite, diseñado para mantener las claves de BTC aisladas de equipos conectados a internet. Muchas de las direcciones vaciadas llevaban años inactivas. El patrón de ataque fue consistente con una operación automatizada: movimientos rápidos, comisiones fijas elevadas y ausencia de salidas de cambio, lo que implicó el vaciado total de cada dirección. No se atribuye a phishing, malware en el ordenador del usuario, robo físico del dispositivo ni a una intrusión remota convencional. El origen fue un error de firmware que redujo la aleatoriedad utilizada cuando algunos dispositivos generaban las semillas: parecían normales, pero procedían de un conjunto de combinaciones mucho más reducido de lo esperado. Una semilla de monedero de Bitcoin es un secreto —habitualmente 12 o 24 palabras— del que se derivan direcciones y claves privadas. En condiciones correctas, una semilla de 12 palabras incorpora 128 bits de entropía, un volumen de combinaciones que hace inviable adivinarla. Coldcard debía obtener esa aleatoriedad de un generador de números aleatorios por hardware dentro del microcontrolador, basado en ruido eléctrico físico. Coinkite explicó que, durante una migración de librerías en 2021, se confundieron dos funciones de generación aleatoria con interfaces similares: una llamaba al generador por hardware; la otra era un respaldo por software, más débil, pensado para placas sin hardware adecuado. Una configuración deshabilitó la ruta de hardware por defecto de MicroPython porque Coinkite aportaba su propio "wrapper", pero el software solo comprobaba si el ajuste existía, no si estaba activado. Como el ajuste estaba presente con valor cero, la compilación se completó y la generación de semillas pasó silenciosamente al generador débil. Ese respaldo dependía en gran medida de datos predecibles del dispositivo, como un identificador del chip similar a un número de serie y valores del reloj interno asociados al arranque. Si un atacante acota esos parámetros, el espacio de búsqueda se reduce de forma drástica frente a los 128 bits esperados. Coinkite estima que, bajo los supuestos actuales, las semillas vulnerables de Mk3 ofrecían alrededor de 40 bits de entropía efectiva: sigue siendo un número grande, pero abordable con computación especializada, especialmente comparando semillas candidatas con direcciones visibles en la blockchain. En modelos posteriores (Mk4, Q y Mk5), Coldcard añadió aleatoriedad procedente de un "secure element". Aun así, solo una parte llegaba al generador afectado, dejando una entropía efectiva estimada en 72 bits para semillas creadas antes de instalar el firmware corregido: mejor que Mk3, pero por debajo del estándar previsto de 128 bits. Coinkite publicó avisos de seguridad y firmware corregido tras detectar la amenaza activa. La compañía indica que los usuarios que hayan generado semillas con firmware afectado deben crear una semilla completamente nueva en una versión corregida y transferir sus BTC a direcciones controladas por esa nueva semilla. Actualizar el dispositivo no basta: una semilla creada bajo el sistema defectuoso permanece debilitada de forma permanente, porque la actualización no puede añadir aleatoriedad a palabras ya generadas. La empresa recomienda: actualizar, crear una nueva semilla, verificar la copia de seguridad y la huella ("fingerprint") del monedero, confirmar la dirección receptora, enviar una transacción de prueba pequeña y, después, mover el resto del saldo. Debe conservarse el respaldo antiguo hasta confirmar el traspaso, pero sin considerarlo ya seguro. Coinkite señaló como versiones corregidas Mk3 4.2.0 o superior; Mk4 y Mk5 5.6.0 o superior; y Q 1.5.0Q o superior, además de las versiones Edge correspondientes. Los productos Tapsigner, Opendime y Satscard utilizan código distinto y, según se informó, no están afectados. Algunos usuarios quedaron protegidos si añadieron suficiente entropía propia al generar la semilla, por ejemplo mediante tiradas de dados: Coinkite afirma que al menos 50 tiradas privadas de un dado justo ofrecían protección adecuada frente a este fallo, y que más tiradas amplían el margen. Una passphrase BIP39 sólida crea además un monedero separado que no puede reconstruirse solo con las palabras de la semilla. Las carteras multifirma, que exigen claves de varios dispositivos o ubicaciones, también quedaron en gran medida o totalmente protegidas cuando la semilla vulnerable de Coldcard era solo una parte del esquema de firma. El CEO de Coinkite, Rodolfo Novak (conocido como NVK), pidió disculpas públicamente el 31 de julio y asumió la responsabilidad total por el fallo de firmware: "Lo siento y estoy devastado. Nuestro equipo está destrozado por las noticias de ayer", escribió. Reconoció que el "hotfix" protege las semillas creadas desde ese momento, pero no repara las semillas generadas con software vulnerable. Novak indicó que Coinkite publicará un informe técnico completo tras verificar los detalles y ayudará a usuarios afectados que necesiten denuncias policiales, reclamaciones de seguro o investigaciones independientes. También advirtió a desarrolladores de que herramientas de inteligencia artificial (IA) pueden escanear código público antiguo en busca de debilidades ocultas más rápido de lo que los procesos tradicionales pueden detectarlas. Coinkite sostiene que debe asumir que el atacante usó IA para revisar su firmware de código abierto, aunque no hay pruebas concluyentes sobre cómo se descubrió la vulnerabilidad. La empresa admitió, además, que una revisión reciente realizada con un modelo líder de IA no detectó el problema. Fabricantes rivales aprovecharon para remarcar que sus productos no se ven afectados. Ledger declaró en X: "Ledger no está afectado por el aviso publicado recientemente sobre Coldcard Mk3", y añadió que sus dispositivos emplean un generador de números aleatorios verdadero (TRNG) certificado integrado en el Secure Element, con 256 bits de entropía para cada frase de recuperación de 24 palabras. Trezor también afirmó: "Usuarios de Trezor: vuestros fondos están seguros", señalando que el incidente de Coldcard se limita a su firmware y a cómo algunos dispositivos generaron aleatoriedad, y que Trezor no comparte ese código. Su cuenta en X añadió que siempre han mezclado múltiples fuentes independientes de entropía (hardware del dispositivo + host + secure elements en modelos más recientes) y lamentó las pérdidas. La identidad del atacante sigue siendo desconocida, y los BTC robados podrían moverse desde las direcciones de consolidación en cualquier momento. Los investigadores tratan de determinar cuántas semillas vulnerables se generaron realmente, cuánto bitcoin continúa expuesto y si el atacante ya ha identificado otros monederos de alto valor. Coinkite podría disponer de poca información sobre compradores antiguos: el cofundador de Casa, Jameson Lopp, señaló en X que Coinkite elimina los registros de clientes después de 120 días para reducir el riesgo de filtraciones, lo que limita su capacidad de avisar a quienes compraron Coldcards vulnerables en los últimos 5 años. El desarrollador de bitcoin de código abierto bajo el seudónimo calle comentó en X: "Estoy realmente triste por todos los afectados, especialmente por quienes pueden haber perdido sus ahorros de toda la vida. Lo peor es que lo hicieron todo bien". El incidente pondrá a prueba si Coinkite logra recuperar la confianza en Coldcard y si los fabricantes de monederos físicos adoptan revisiones independientes más exigentes sobre la generación de semillas. Para los usuarios, la prioridad inmediata es clara: cualquiera que haya creado una semilla en firmware afectado sin entropía sólida de dados, sin passphrase o sin protección multifirma debe considerarla comprometida y mover los fondos con cautela a un monedero nuevo. En la comunidad bitcoiner se está llamando a difundir la advertencia para evitar que más monederos vulnerables sean vaciados.