Fabricante de Coldcard evita confirmar pérdidas por hackeo de 130 millones de dólares

Los hackers han drenado entre 1,596 y 1,816 bitcoins, con un valor de entre 100 y 130 millones de dólares, de más de 7,300 direcciones vinculadas a billeteras de hardware Coldcard, marcando el mayor exploit de billeteras físicas en la historia cripto. El ataque, que comenzó el 30 de julio, aprovechó una falla de firmware de hace cinco años que debilitó la aleatoriedad utilizada para generar las frases semilla, permitiendo a los atacantes forzar claves privadas sin tocar nunca un dispositivo físico.crypto+2

Coinkite, con sede en Toronto y fabricante de Coldcard, declinó confirmar cifras específicas de pérdidas en una declaración a Bloomberg el miércoles. "No estamos en posición de confirmar de forma independiente las pérdidas totales ni validar las cifras específicas reportadas por terceros", señaló la empresa.bloomberg

Cómo una línea de código lo rompió todo

La vulnerabilidad se remonta a una actualización de firmware de marzo de 2021 que introdujo un error de configuración. Una macro llamada MICROPY_HW_ENABLE_RNG, configurada en cero, provocó que una biblioteca criptográfica de soporte omitiera el generador de números aleatorios por hardware del dispositivo y recurriera a un sustituto de software predecible. El resultado: las frases semilla en los dispositivos Mk3 se generaron con unos 40 bits de entropía en lugar de los 128 bits previstos, reduciendo la seguridad de un candado efectivamente irrompible a uno que una computadora podría forzar en minutos.memeburn+1

El equipo de seguridad de bitcoin de Block ↘ 3.68% publicó el desglose técnico completo tras rastrear la falla junto a investigadores independientes anónimos. Galaxy Research identificó cuatro oleadas de ataques: la primera, el 30 de julio, sustrajo 1,082 BTC de 1,196 direcciones en 41 minutos; las oleadas posteriores hasta el 4 de agosto elevaron las pérdidas confirmadas a 1,596 BTC, con una cuarta oleada sospechosa que podría elevar el total a 2,055 BTC.crypto+2

Las víctimas hicieron todo bien

La ironía más cruel de la brecha es que afectó a los poseedores de bitcoin más conscientes de la seguridad. "Quizás lo más difícil de esto es que hice todo bien", escribió el empresario canadiense Jonathan Goodman en X tras perder 18.25 BTC, valorados en aproximadamente 1.6 millones de dólares canadienses, de un Coldcard guardado en una caja de seguridad. Tim Lamb, un especialista en marketing de 38 años cuya semilla estaba grabada en una placa de metal escondida dentro de un diccionario falso, perdió dos bitcoins valorados en unos 130,000 dólares mientras estaba de vacaciones.news.bloomberglaw+1

El CEO de Coinkite, Rodolfo Novak, se disculpó en X el 31 de julio, escribiendo: "Sabemos que una disculpa no devuelve los fondos de nadie. Sabemos que tendremos que recuperar la confianza de nuestros usuarios". La empresa emitió un firmware de emergencia, destruyó el inventario vulnerable restante y detuvo los envíos, pero advirtió que el parche no repara las semillas ya generadas en el firmware comprometido.crypto+2

Las consecuencias reformulan el debate sobre la autocustodia

La brecha ha revertido una tendencia de dos años de salida de bitcoin de los exchanges. CryptoQuant informó que las transferencias inferiores a 1 BTC alcanzaron los 39,600 BTC el 31 de julio, cerca de los niveles de pánico observados cuando FTX colapsó en 2022. Cantor Fitzgerald dijo a sus clientes que el hackeo podría dirigir la demanda hacia proveedores de custodia gestionada y ETFs de bitcoin al contado, como el iShares Bitcoin ↘ 0.29% Trust de BlackRock ↘ 0.54%, señalando a Coinbase ↘ 1.46% y Robinhood ↘ 1.25% entre los posibles beneficiarios.thestreet+1

Aproximadamente el 90 por ciento de los fondos robados permanecen inmóviles en direcciones controladas por los atacantes, aunque los analistas han identificado a un actor que comenzó a mover unos 64 BTC a través del mezclador CoinJoin de Wasabi Wallet. Galaxy Research ha compartido cerca de 600 direcciones sospechosas con las fuerzas del orden federales de EE. UU. y los exchanges de criptomonedas.coinpaper+2