Un hacker sustrajo más de 2.000 bitcoins de billeteras creadas con dispositivos Coldcard. El incidente reveló fallas en la generación de claves y reavivó el debate sobre la seguridad de la autocustodia.
Un atacante informático robó más de 2.000 bitcoins (equivalentes a más de 100 millones de dólares) de billeteras creadas con dispositivos Coldcard. El alcance total del ataque aún se está determinando, pero se sabe que miles de direcciones quedaron expuestas y que los fondos fueron extraídos sin que el atacante tuviera acceso físico a los dispositivos.
Este robo es menor en comparación con el de Mt. Gox en 2014, cuando la plataforma declaró la pérdida de unos 850.000 bitcoins. Sin embargo, aquel caso involucraba a un custodio centralizado, mientras que en este incidente se comprometieron billeteras de autocustodia generadas con uno de los dispositivos especializados más reconocidos del ecosistema.
Las hardware wallets son dispositivos diseñados para generar y proteger las claves necesarias para utilizar Bitcoin. No almacenan bitcoins en su interior, ya que estos siempre están registrados en la red; lo que protegen son las claves que permiten moverlos. Son una herramienta común para la práctica de la autocustodia, que en Argentina se compara con guardar dinero bajo el colchón, aunque con la diferencia de que se custodia una clave matemática en lugar de billetes.
El incidente generó una reacción inmediata en la comunidad. Especialistas, empresas y divulgadores solicitaron a los usuarios que revisaran sus dispositivos, actualizaran el firmware y, cuando correspondiera, trasladaran sus fondos a nuevas billeteras generadas de forma segura. Otros fabricantes comenzaron a revisar sus políticas y sistemas de generación de claves. También surgieron dudas sobre la seguridad de Bitcoin y de la autocustodia.
El ataque no comprometió la criptografía de Bitcoin ni la blockchain, y no se encontró una manera de adivinar cualquier clave privada. La falla se produjo en un producto concreto utilizado para generar determinadas claves.
La seguridad de una billetera de Bitcoin depende de la generación de una clave aleatoria e impredecible. Cuanto más amplio e impredecible sea el proceso, menor es la posibilidad de que alguien obtenga la misma combinación. En el caso de Coldcard, un error de software redujo el espacio de posibilidades utilizado para generar algunas claves, debilitando la seguridad esperada. Las semillas generadas por algunos dispositivos tenían aproximadamente entre 40 y 72 bits de entropía, lo que representa billones de posibilidades, pero no el espacio astronómico originalmente prometido.
El atacante pudo crear todas las combinaciones posibles y extraer los fondos sin hackear el dispositivo ni conocer a su dueño. Algunos fondos quedaron protegidos si los usuarios habían agregado una passphrase adicional, ya que el atacante debería explorar una infinidad de combinaciones adicionales.
El incidente no implica necesariamente que la autocustodia haya fracasado ni que sea preferible dejar los fondos en un exchange. Quien deja sus bitcoins en un exchange confía plenamente en esa empresa, incluyendo su solvencia, empleados, sistemas y regulaciones. En cambio, quien utiliza una hardware wallet confía parcialmente en el fabricante, su código, sus componentes y sus procedimientos de generación de claves.
El caso Coldcard dejó varias lecciones: nadie hackeó a Bitcoin como sistema; la autocustodia sigue siendo segura a pesar de que una herramienta haya fallado; una billetera desconectada puede estar comprometida desde su creación; el código abierto no garantiza que se hayan encontrado todos los errores; y la reputación de una empresa no reemplaza la verificación.
La autocustodia implica asumir la responsabilidad de comprender cómo se guarda el bitcoin, cómo se genera una billetera, cómo se respalda, cómo se verifica una dirección, cómo se actualiza un dispositivo, cómo se recuperan los fondos y qué ocurrirá si el titular falta.