Bitkey, el monedero de bitcoin de autoservicio, solucionó una vulnerabilidad en sus flujos de configuración de recuperación e herencia el 1 de agosto después de que el investigador de seguridad @1440000bytes detectara el problema. La falla fue confirmada, corregida y enviada a las tiendas de aplicaciones el mismo día en que se reportó. Ningún fondo de usuario estuvo en riesgo.
¿Qué pasó y por qué no importó (mucho)
La vulnerabilidad existió dentro de una ventana específica durante el proceso de inscripción para las funciones de contacto de recuperación y herencia de Bitkey. Clay Garrett, Líder de Ingeniería de Bitkey, confirmó el error el mismo día en que fue descubierto. Él señaló que la falla requería condiciones excepcionales para ser explotada, lo que significa que un atacante necesitaría un conjunto muy específico de circunstancias para siquiera intentarlo.
La arquitectura del monedero de Bitkey utiliza defensa en profundidad, un enfoque de seguridad por capas donde múltiples salvaguardas independientes protegen los fondos de los usuarios. Incluso si alguien hubiera logrado explotar la vulnerabilidad durante esa ventana estrecha, la arquitectura subyacente del monedero habría impedido el acceso no autorizado a los fondos.
Bitkey informó a los usuarios que las operaciones normales del monedero podían continuar sin preocupación, enfatizando el alcance limitado del problema. El parche se envió a la App Store de Apple y a Google Play Store el 1 de agosto.
La respuesta pública: transparencia como estrategia
El 2 de agosto, Bitkey organizó una discusión técnica pública a través de un X Space, donde el equipo explicó los detalles de la vulnerabilidad, la solución y la arquitectura de seguridad más amplia que mantuvo seguros los fondos. Los miembros de la comunidad tuvieron la oportunidad de hacer preguntas directamente.
La empresa agradeció públicamente a @1440000bytes por la divulgación responsable. Los incidentes concurrentes que involucraron monederos Coldcard atrajeron la atención sobre diferentes estrategias de divulgación y respuesta en la industria, destacando el contraste en cómo los proveedores de monederos comunican a sus usuarios los problemas de seguridad.
Por qué la seguridad de la autogestión es más importante que nunca
Bitkey, desarrollada por Block (la empresa anteriormente conocida como Square, liderada por Jack Dorsey), se posiciona como una solución de auto-custodia amigable para el consumidor. Sus funciones de herencia y recuperación están diseñadas específicamente para abordar uno de los mayores puntos de dolor en la auto-custodia: qué sucede con tu bitcoin si te ocurre algo. Es importante destacar que la vulnerabilidad existía precisamente en este conjunto de funciones, ya que son los flujos con los que los usuarios casuales es probable que interactúen cuando están menos enfocados técnicamente.
Qué significa esto para los inversores
Para los usuarios actuales de Bitkey, la conclusión inmediata es sencilla: actualice su aplicación, y sus fondos nunca estuvieron en riesgo. El parche ya está disponible en las dos principales tiendas de aplicaciones.