Coldcard pide a sus usuarios trasladar sus fondos por un exploit en curso que ya habría drenado hasta 114 millones de dólares

Los desarrolladores de la cartera de hardware Coldcard han instado a sus usuarios a mover de inmediato sus bitcoin y han confirmado este martes que el exploit, responsable de vaciar monederos autocustodiados por hasta 114 millones de dólares, sigue activo. La compañía pidió tratar el aviso como "urgente", migrar los fondos, seguir la guía específica de cada modelo, actualizar el dispositivo, generar una nueva semilla y trasladar las monedas con cuidado. También solicitó avisar a quienes están "menos conectados" y podrían no haber visto la alerta, ya que esos usuarios serían los más expuestos porque la corrección debe aplicarse manualmente. El aviso no es meramente preventivo. CoinDesk informó el lunes de una posible cuarta oleada de barridos a lo largo del día, que habría retirado alrededor de 449 BTC de 709 direcciones según el recuento revisado de Galaxy Research, elevando las pérdidas acumuladas desde unos 89 millones de dólares hasta un máximo de 114 millones de dólares. El fallo se vincula a un firmware que permanecía latente desde 2021, según publicó CoinDesk el viernes. En la práctica, los monederos en los que una sola clave controla los fondos sin requerir una segunda aprobación continúan en riesgo hasta que el titular actúe. El impacto, por tanto, se limita a determinados dispositivos y versiones de firmware. Los propietarios del Mk3, el modelo de 2019, deben mover sus fondos ya si el monedero se configuró con firmware 4.0.1 o superior. Coinkite indicó que la excepción son quienes usaron la opción de dados del dispositivo: el usuario lanza físicamente los dados al menos 50 veces e introduce los resultados, y el monedero deriva la clave a partir de esos números en lugar de generarla internamente. Esos monederos no habrían pasado por el código defectuoso y se consideran seguros. Para los modelos Mk4, Mk5 y Q, los usuarios con firmware inferior a 5.6.0 o 1.5.0Q deben actualizar, crear un nuevo monedero y transferir después sus monedas. La semilla (seed) es la clave maestra que controla los fondos: si se genera con poca aleatoriedad, un atacante puede adivinarla y recrearla, y vaciar el monedero sin necesidad de tocar el dispositivo. "Toda cartera depende en última instancia de un secreto raíz generado a partir de entropía de alta calidad", explicó Bouzon a CoinDesk por correo electrónico, subrayando que esa entropía "debe estar anclada en hardware seguro, con una arquitectura que no pueda degradarse silenciosamente hacia una fuente de software no confiable". Añadió que las alternativas son peores: consideró más arriesgadas las carteras de software en hardware no seguro y sostuvo que entregar fondos a un exchange centralizado "no es propiedad, es un pagaré". Bitcoin cotizaba cerca de los 63.800 dólares en las primeras horas de la sesión estadounidense del martes, con pocos cambios tras el aviso, según datos de CoinDesk.