Un fallo de Coldcard vacía 1.082 bitcoin y obliga a migrar monederos
Compraste el aparato para no tener que fiarte de nadie. Resulta que te fiabas del fabricante.
Coinkite, la empresa canadiense que fabrica los Coldcard, publicó el jueves un aviso de seguridad que al día siguiente tuvo que ampliar dos veces.
Empezó señalando solo al modelo Mk3 y acabó incluyendo también el Mk4, el Mk5 y el Coldcard Q.
Si guardas bitcoin en uno de esos aparatos, esto no es una noticia para leer el lunes. Es para hoy.
- Instala el firmware corregido: 4.2.0 o posterior en el Mk3, 5.6.0 en Mk4 y Mk5, 1.5.0Q en el Q. Si usas la rama Edge, la tuya es la 6.6.0X o la 6.6.0QX.
- Genera una frase semilla nueva. La actualización no repara la que ya tienes.
- Apunta el respaldo, apaga el aparato, enciéndelo y comprueba que la huella del monedero coincide.
- Manda una transacción pequeña de prueba a la dirección nueva.
- Cuando llegue y esté confirmada, mueve el resto.
- Guarda el respaldo viejo hasta que todo el saldo haya llegado.
Excepción: si al crear la semilla añadiste cincuenta tiradas de dados propias o más, y nadie las vio, Coinkite no considera que corras riesgo por este fallo. Los Opendime, los Tapsigner y los Satscard tampoco están afectados.
La cerradura a la que le faltaban dientes
Una frase semilla de doce palabras debería nacer de 128 bits de azar puro: el aparato tira un dado interno enorme y de ese número salen las palabras.
El firmware afectado tiraba un dado con muchísimas menos caras, y las semillas salieron con unos 72 bits de aleatoriedad real.
Ciento veintiocho bits es una cerradura que nadie ha abierto nunca por fuerza bruta. Setenta y dos bits es una lista larga y cara de probar, pero que cabe en un centro de datos alquilado.
Piénsalo como una fábrica de cerraduras que grabó el mismo lote de llaves durante cinco años seguidos. Las puertas parecían distintas. Las llaves no lo eran tanto.
Y conviene repetir el punto dos de la lista, porque actualizar el firmware no arregla en absoluto la semilla que ya está creada.
Cuarenta y un minutos
Rob Hamilton, consejero delegado y cofundador de AnchorWatch, fue el primero en poner números. Contó 594,48 bitcoin barridos en 500 transacciones dentro de una ventana de tres bloques, todos desde direcciones de firma única, según su análisis preliminar.
Horas después, Galaxy Research amplió la foto. Entre las 01:10 y las 01:51 UTC del 30 de julio se vaciaron por completo 1.196 direcciones, con 1.082,65 bitcoin dentro, unos 59 millones de euros.
Cuarenta y un minutos para vaciar el ahorro de 1.196 personas, porque la parte lenta, la de buscar las llaves, ya estaba hecha desde antes.
Kevin Loaec, consejero delegado de Wizardsardine, sospecha que el atacante solo rastreó un tramo estrecho de direcciones. Un monedero guarda las suyas en cajones numerados, y el ladrón abrió los primeros y se marchó.
Eso explicaría por qué algunos monederos quedaron medio vacíos y otros intactos. Es su hipótesis, no un hecho probado. Si acierta, los que quedaron a medias siguen hoy en peligro.
Quien firma con dos aparatos tiene un problema extra
Peter Todd, colaborador de Bitcoin Core, avisó de un caso de multifirma que casi nadie había pensado. Imagina un esquema de dos entre tres, con dos Coldcard y un tercer aparato limpio.
Al mover los fondos se revela por primera vez el guion de gasto, y en ese instante el atacante ya conoce dos de las tres llaves. Puede lanzar una transacción rival con más comisión y adelantarte.
Todd apunta una salida en las notas recogidas por Bitcoin Magazine. Enviar esa transacción por Slipstream, el servicio de la pool de minería MARA que la guarda en privado hasta que entra en un bloque.
Queda mucho por saber, y merece la pena decirlo. Coinkite no ha publicado aún el informe técnico ni ha dicho cuántas semillas afectadas hay circulando. Tampoco se sabe quién está detrás del barrido.
Rodolfo Novak, cofundador y consejero delegado de Coinkite, pidió perdón el viernes y asumió la responsabilidad del error. También sugirió que el atacante pudo encontrarlo con ayuda de inteligencia artificial, aunque no aportó pruebas de ello.
Shinobi, redactor técnico de Bitcoin Magazine, publicó además una guía de emergencia paso a paso para quien no tenga otro aparato a mano.
El precio también se movió, aunque no solo por esto. Bitcoin cotiza en 62.921 dólares, unos 54.587 euros, tras perder cerca de 3.000 dólares en doce horas. Los fondos cotizados estadounidenses, mientras tanto, entraron 233 millones de dólares el viernes.
Y debajo, la red ni se enteró. El bloque 960.495 acaba de cerrar y una transacción se confirma pagando tres satoshis por byte virtual, según mempool.space. Rara vez ha salido tan barato mudar tus monedas a una dirección nueva.
Si tus monedas viven en una billetera del móvil, este fallo concreto no te toca. La lección sí.
El aparato de Coinkite sigue siendo una de las mejores formas de guardar lo tuyo. Solo que ahora ya sabes exactamente de quién te estabas fiando.