Un fallo en la generación de semillas de Coldcard habría permitido robos por más de 100 millones de dólares y afectado a miles de usuarios

Jonathan Goodman, empresario de Toronto, aseguraba haber seguido al pie de la letra las buenas prácticas de autocustodia: su hardware wallet Coldcard nunca se conectó a internet, la guardaba en una caja de seguridad y la frase semilla permanecía en otra distinta, sin haberla compartido con nadie. Aun así, el 29 de julio vio cómo se vaciaban todas sus carteras: perdió 18,25 bitcoin, valorados en algo más de 1,17 millones de dólares en el momento del ataque. El 1 de agosto lo relató en X: "Quizá lo más duro de todo esto es que lo hice todo bien". Su caso forma parte de una brecha de mayor alcance que, según Galaxy Research, habría afectado a miles de usuarios de Coldcard. La firma indicó tener un alto grado de confianza en que se sustrajeron 1.596 bitcoin —por encima de 100 millones de dólares— desde unas 7.300 direcciones mediante una serie de ataques. El responsable de investigación de Galaxy, Alex Thorn, estimó el 4 de agosto que al menos 15 atacantes distintos estaban explotando el fallo y que no necesitaban acceso físico a los dispositivos. La premisa de seguridad de una hardware wallet es que los secretos nunca salen del chip y que, sin conexión a internet, no existe una vía de entrada remota. Aunque estos dispositivos no están exentos de riesgos —desde extraviarlos hasta sufrir un "wrench attack"—, su principal argumento de venta es la protección frente a hackers. En el caso de Coldcard, esa promesa no se cumplió. La vulnerabilidad no residía en el hardware, sino en el modo en que se generaba la contraseña secreta o frase semilla que protege los fondos. En el ecosistema existen monederos de software ("hot wallets"), que se ejecutan en dispositivos conectados a internet y son más cómodos pero más expuestos si el equipo se compromete, y monederos físicos ("cold wallets") como Coldcard, que mantienen las claves en un dispositivo separado sin conexión. Antes de la popularización del hardware, una opción temprana fueron los "paper wallets", con claves anotadas en papel: inmunes a ataques online, pero fáciles de perder o dañar. Las hardware wallets se sitúan entre ambos extremos: más difíciles de atacar que el software y menos frágiles que el papel, sin ser infalibles. "Los sistemas air-gapped ayudan, pero no son una solución perfecta", explicó Bobby Gray, fundador de TEXITcoin, a CoinDesk. "La seguridad tiene que empezar por cómo se generan las claves y continuar por cada parte del proceso de custodia". Ese fue el punto débil para Coinkite, fabricante de Coldcard. En marzo de 2016, la empresa canadiense comunicó a sus clientes que retiraría su hot wallet alojada: operar un servicio financiero online implicaba oleadas de tráfico basura orientadas a tumbar sus sistemas, además de mayores costes legales y complicaciones regulatorias. Su giro estratégico buscaba desarrollar hardware descentralizado y "software no como servicio", en una etapa temprana del sector, antes del segundo halving de Bitcoin, cuando el precio rondaba ligeramente por encima de los 400 dólares por bitcoin. De ese cambio nació Opendime en abril de 2016: un pequeño USB que generaba y ocultaba una clave privada, permitiendo transferir bitcoin como si fuera un instrumento al portador; al romper el precinto se revelaba la clave y se podían gastar los fondos. Poco después llegó Coldcard. Coinkite lo anunció en diciembre de 2017 con el lema "The World Needs An Open, Cheap & Ultrasecure Hardware Wallet", defendiendo que las alternativas eran caras y dependían de apps propietarias. El diseño original combinaba teclado numérico, pantalla, elemento seguro y ranura MicroSD, con un flujo basado en mover archivos de transacciones firmadas y sin firmar entre el dispositivo y un ordenador sin conexión en vivo. No se requerían cuenta en Coinkite ni aplicación de escritorio. Las primeras unidades se enviaron en 2018 y el modelo siguiente, lanzado en abril de 2019, añadió nuevas funciones. Con cada versión, Coldcard ganó complejidad, y con ella una parte de su atractivo: estaba pensado para usuarios dispuestos a revisar detalles de transacciones, gestionar copias de seguridad y diseñar su propio modelo de seguridad. Funciones como PIN bajo coacción, backups cifrados en MicroSD, soporte multifirma y tiradas de dados aportadas por el usuario buscaban dar respuesta a perfiles que entienden la custodia como un ejercicio adversarial. Su código fuente era público, lo que permitía revisar el firmware, reproducir una compilación y compararla con la versión publicada por Coinkite, en línea con el principio "don't trust, verify". Aun así, el problema pasó desapercibido durante años. El fallo en la generación de semillas se introdujo con un cambio de software importante en 2021. Coinkite describió el firmware 4.0.0 como "All New Code, Same Great Features": sustituyó el código por equivalentes nuevos, añadió builds reproducibles y agradeció a una cuenta llamada "switck" la "nueva biblioteca de código fuente". El desarrollador de Bitcoin James O'Beirne afirmó haber identificado esa cuenta como perteneciente al cofundador de Coinkite, Peter Gray, al encontrar 58 cambios de código publicados bajo ese alias con la misma firma criptográfica que Gray utiliza en contribuciones a su nombre. Coinkite no ha respondido a esa afirmación. Switck desarrolló libngu, un conjunto de código reutilizable incorporado al firmware de Coldcard. Entre otras tareas, ayudaba a producir la aleatoriedad empleada al crear carteras. O'Beirne señaló que durante una auditoría en mayo de 2025 cuestionó ese proceso y, tras rastrear el origen de la aleatoriedad hasta libngu, advirtió a Coinkite de un posible defecto. Según O'Beirne, la empresa respondió que un problema real probablemente ya se habría descubierto. Más tarde escribió sobre Peter Gray: "Es el mismo tipo que restó importancia a mi informe sobre la posibilidad del defecto en mayo de 2025". La aleatoriedad es esencial porque una cartera nueva debe seleccionar una semilla dentro de un número enorme de valores posibles. La imprevisibilidad se mide en bits de "entropía": cada bit adicional duplica el número de combinaciones, dificultando adivinar la semilla. Coldcard debía obtener esa aleatoriedad de un generador de hardware dedicado dentro del dispositivo. Una configuración errónea desvió el proceso hacia un generador de software más simple que utilizaba información como datos del dispositivo y marcas temporales. Al no ser totalmente aleatorios, esos datos podían acotarse o reproducirse, reduciendo de forma drástica el conjunto de semillas que un atacante necesitaba probar. En términos prácticos, el código de Coldcard debía elegir el secreto de cada cartera de un universo tan grande que ningún ordenador pudiera probar todas las combinaciones. Por un fallo de "cableado" en el software, la selección terminó apoyándose en una fuente más débil, lo que redujo ese universo lo suficiente como para hacerlo abordable. Según el equipo de ingeniería y seguridad de Bitcoin de Block, el origen estuvo en cómo se comunicaban dos piezas de software para leer un ajuste: dicho ajuste debía desactivar una fuente de números aleatorios cuando Coldcard incorporó otra. Libngu solo verificaba si el ajuste existía, no si estaba activado o desactivado. El firmware compilaba con normalidad, pero empleaba el generador equivocado. Block indicó que los dispositivos Mk2 y Mk3 afectados no recibieron aleatoriedad segura mediante ese proceso. Los modelos Mk4, Q y Mk5 recibieron algo de entropía, pero el software conservaba solo una pequeña parte. Coinkite estima que esos dispositivos más recientes generaron semillas con 72 bits de aleatoriedad en lugar de los 128 previstos, lo que implica unas 72 cuatrillones de veces menos semillas posibles. Block situó el código vulnerable en el firmware 4.0.0, publicado el 17 de marzo de 2021. Coinkite identifica la versión 4.0.1 como la primera afectada para usuarios de Mk2 y Mk3. El código era público y el generador de hardware correcto estaba presente en el firmware final. Revisores confirmaron que el componente existía, pero no siguieron el proceso de generación de semillas de principio a fin para comprobar qué generador utilizaba realmente el dispositivo. La empresa también aseguró que las revisiones asistidas por IA previas al robo no detectaron el fallo, y que pruebas posteriores con varios modelos líderes tampoco lo identificaron. Coinkite ha prometido publicar una explicación más completa del incidente y afirma que está apoyando directamente a los clientes afectados. La compañía no respondió a la solicitud de comentarios de CoinDesk. Ya ha publicado firmware corregido para todos los modelos y ramas de lanzamiento afectados. La actualización evita que se generen nuevas semillas vulnerables, pero no refuerza las ya creadas con el software defectuoso. El aviso de Coinkite indica que los usuarios afectados deben instalar el firmware corregido, generar una nueva semilla y trasladar sus bitcoin a direcciones derivadas de ella. Coldcard se construyó sobre la idea de que los usuarios de Bitcoin podían prescindir de custodios y reducir el número de terceros en los que confiar. Este episodio no devuelve la confianza en un exchange o un banco como contraparte; pone de relieve una dependencia distinta: el usuario controla las claves, pero el fabricante del monedero sigue determinando si esas claves se generaron de forma segura. En el caso de Goodman, la clave de un patrimonio de bitcoin valorado en más de un millón de dólares estaba en una caja de seguridad, dentro de un dispositivo que nunca se conectó a internet. El fallo en el software de generación de semillas hizo que esa protección física no bastara.