El hack de Coldcard presiona la autocustodia de Bitcoin
Un fallo de firmware de 2021 afectó a miles de carteras de Coldcard y derivó en un robo de casi 1.600 BTC. El caso pone aún más en el foco las hardware wallets y multisig como solución de autocustodia.
Puntos clave
- Un fallo de firmware en las hardware wallets de Coldcard de 2021 desencadenó un importante incidente de seguridad en torno a la autocustodia de Bitcoin.
- Los atacantes sustrajeron casi 1.600 BTC, valorados en más de 100 millones de dólares, desde unas 7.300 direcciones.
- El sector ha respondido con parches, avisos a las autoridades y un mayor interés por la seguridad en varias capas, incluida la multisig.
Un error de firmware introducido hace cinco años en las wallets hardware de Coldcard terminó convirtiéndose en uno de los incidentes de seguridad más relevantes de los últimos tiempos en el ámbito de la autocustodia de Bitcoin. Según Galaxy Research, los atacantes empezaron el jueves pasado a vaciar miles de wallets y lograron extraer casi 1.600 BTC, por un valor superior a 100 millones de dólares (86,6 millones de euros), desde unas 7.300 direcciones.
Cómo funcionó el ataque
La vulnerabilidad se originó en una actualización de firmware de marzo de 2021 para la wallet exclusiva de Bitcoin de Coinkite. A partir de ese fallo, las claves privadas quedaron expuestas con un nivel de protección inferior al que los usuarios podían dar por hecho. El ataque se ejecutó en tres oleadas y golpeó sobre todo a personas que creían mantener sus fondos bajo control directo.
Swan Bitcoin, una plataforma estadounidense para comprar, custodia y administrar Bitcoin por cuenta propia, activó de inmediato medidas adicionales. La compañía suspendió los retiros de los clientes expuestos al riesgo, envió alertas dentro de la aplicación y amplió su asistencia para la migración más allá de su propia base de clientes. Su director ejecutivo, Cory Klippsten, aseguró que el equipo dejó todo para llamar a los clientes y que después también ofreció ayuda a cualquiera que la necesitara.
Reacción del sector
Una semana después, casi el 90% de las monedas robadas sigue sin moverse en la blockchain. Las direcciones del atacante que han podido confirmarse ya se compartieron con la federal estadounidense, mientras que Coinkite ha aplicado parches en todas las líneas de dispositivos afectadas. Además, un equipo voluntario financiado por OpenSats revisó más de 150 repositorios de código abierto y no halló señales de que el problema se hubiera extendido más allá de Coldcard.
Coldcard se había ganado una reputación como hardware wallet exclusiva para Bitcoin con funciones pensadas precisamente para reforzar la seguridad, entre ellas las transacciones air-gapped mediante microSD y una carcasa transparente que facilita detectar cualquier manipulación física. Precisamente por eso, el alcance de este exploit resulta más delicado: el incidente afecta a una categoría de producto cuya propuesta de valor se apoya en la confianza en la seguridad local.
Por qué es relevante
El hack ha reabierto el debate sobre la autocustodia, aunque, según Klippsten, no se está produciendo una retirada masiva de usuarios. Lo que sí observa es un mayor interés por fórmulas que reduzcan la probabilidad de que Bitcoin quede comprometido por un único punto de fallo, como la multisig colaborativa. Para los usuarios europeos de criptoactivos, esto es relevante porque muestra que la seguridad práctica depende cada vez más de varias capas y no solo de una hardware wallet.
Parte del mercado ya reaccionó con cautela antes de que el caso se conociera por completo: algunas wallets antiguas empezaron a moverse de forma masiva tras salir a la luz la vulnerabilidad, como en una antigua wallet de Bitcoin que movió 31 millones de dólares.
