Una vulnerabilidad de software de Coldcard de cinco años pudo haber permitido a un atacante reconstruir claves privadas y transferir más de 1.100 bitcoin, lo que llevó al fabricante del monedero a atribuir parcialmente el descubrimiento a la inteligencia artificial (IA).
Principales conclusiones
- Semillas vinculadas a Coldcard expuestas, con un valor de 1.128,4717 BTC, aproximadamente $71,1 millones.
- Coinkite dice que la IA podría haber encontrado la falla de cinco años, pero la atribución sigue sin probarse.
- Los usuarios de Coldcard con semillas afectadas deben crear nuevos monederos con el firmware corregido.
Una limpieza coordinada vacía cientos de monederos
El incidente se hizo público tras moverse aproximadamente 594 BTC, valorados cerca de $38 millones en ese momento, desde alrededor de 500 direcciones bitcoin de firma única el 30 de julio. When the news first broke, Bitcoin.com News noted que las transferencias ocurrieron dentro de aproximadamente 25 minutos y parecían dirigirse a monederos con una debilidad técnica compartida.
Más tarde, las revisiones de la cadena de bloques ampliaron la escala posible del robo. Los investigadores estimaron que entre 1.082 y 1.196 direcciones podrían haberse visto afectadas durante un período de aproximadamente 41 minutos. Un panel personalizado llamado Coldcard Sweep Watch posteriormente fijó el total en 1.128,4717 BTC, valorados en aproximadamente $71,1 millones cuando el bitcoin se negociaba cerca de $63.044.
La mayor parte de los fondos se consolidaron en una dirección que poseía cientos de bitcoin, donde una gran parte permaneció en gran medida estacionaria. Las direcciones afectadas estaban vinculadas por un detalle importante: sus semillas de recuperación habían sido creadas en monederos de hardware Coldcard fabricados por la empresa canadiense Coinkite.
Una semilla de recuperación es una lista de palabras que controla el acceso a un monedero de criptomoneda. Cualquiera que pueda reconstruir u obtener esa semilla generalmente puede mover los fondos del monedero sin poseer el dispositivo físico.
Coldcard encuentra un sistema de aleatoriedad defectuoso
Coinkite emitió un aviso urgente de advertencia de que ciertas semillas generadas en dispositivos Coldcard podrían ser débiles. Los dispositivos Mk3 con la versión de firmware 4.0.1, lanzada alrededor de marzo de 2021, y versiones posteriores estuvieron entre los que enfrentaron el mayor riesgo.
Un análisis más detallado amplió la preocupación a las semillas creadas en algunos dispositivos Mk4, Mk5 y Q antes de Coinkite lanzara correcciones de firmware de emergencia. Se informó que los productos Tapsigner, Opendime y Satscard no se vieron afectados porque utilizan software diferente.
La falla involucró el proceso utilizado para generar datos aleatorios. Los monederos seguros dependen de aleatoriedad de alta calidad para que sus semillas de recuperación no puedan ser adivinadas. En los dispositivos Mk3 más gravemente afectados, los investigadores estimaron que la semilla podría haber contenido solo alrededor de 40 bits de aleatoriedad efectiva en lugar de los 128 bits previstos.
Esa diferencia es crítica. Una semilla de 128 bits generada correctamente se considera prácticamente imposible de adivinar mediante fuerza bruta. Una semilla de 40 bits ofrece muchas menos posibilidades, permitiendo a un atacante con suficiente poder de cómputo probar semillas potenciales en off-line y comparar las direcciones resultantes con la cadena de bloques pública de bitcoin.
Algunos dispositivos más recientes podrían haber proporcionado aproximadamente 72 bits de aleatoriedad efectiva porque el hardware seguro añadió otra capa de datos impredecibles. Eso haría más difícil reconstruir las semillas, though still much weaker than intended.
Un error de configuración sobrevivió durante 5 años
El problema comenzó con un error de configuración en tiempo de compilación que involucraba dos funciones de software que realizaban trabajos similares. Una función utilizaba el generador de números aleatorios verdaderos basado en hardware del dispositivo, mientras que la otra dependía de un proceso de software más débil heredado de MicroPython.
Coinkite pretendía deshabilitar la opción de MicroPython. Sin embargo, una verificación de software solo revisaba si se había definido una etiqueta de configuración, en lugar de verificar si su valor se había establecido en cero. Como resultado, el firmware final podría seleccionar silenciosamente la función más débil.
Debido a que las dos funciones tenían formatos coincidentes, el software continuó compilándose y ejecutándose sin producir un error obvio. El error se introdujo en el código durante una migración de software alrededor de 2021 y permaneció en el firmware disponible públicamente durante más de cinco años.
Actualizar un dispositivo ahora no fortalece una semilla generada bajo el software defectuoso. Los usuarios afectados deben crear una semilla completamente nueva utilizando el firmware corregido u otro dispositivo seguro, y luego transferir sus fondos a direcciones controladas por esa nueva semilla.
Los usuarios que añadieron al menos 50 tiradas de dados independientes al crear su seed podrían haber proporcionado suficiente aleatoriedad adicional para evitar la debilidad. Una frase de contraseña BIP-39 sólida también podría haber hecho más difícil la reconstrucción, mientras que los monederos que requieren firmas de varios dispositivos independientes podrían haber impedido que una seed comprometida moviera fondos por sí sola.
Coinkite apunta a la IA, pero la prueba sigue faltando
El CEO de Coinkite, Rodolfo Novak, se disculpó públicamente y dijo que la empresa asumió toda la responsabilidad por el fallo del firmware. Dijo que el equipo estaba trabajando en software corregido, informes técnicos y soporte para los usuarios afectados.
Coinkite y Novak también propusieron una teoría sorprendente sobre cómo se descubrió la falla. Debido a que su firmware había estado disponible públicamente durante años, la empresa dijo que creía que alguien podría haber utilizado IA para examinar versiones anteriores del código y localizar la ruta de aleatoriedad débil.
“Para todos los demás desarrolladores: creemos que esta es una realidad serena del nuevo paradigma de la IA. La revisión de código asistida por IA ahora puede encontrar errores latentes a una velocidad que supera incluso a los expertos más experimentados de la industria,” Novak escribió en su publicación de disculpa publicada en X. “Si su firmware es de código abierto o alguna vez ha sido público, asuma que ya está siendo leído por atacantes y defensores por igual.”
Los sistemas modernos de programación con IA de hoy pueden procesar grandes repositorios de software e identificar relaciones sospechosas entre configuraciones, funciones y suposiciones de seguridad. Un atacante podría pedir a dicho sistema que busque específicamente generadores de números aleatorios débiles, funciones de respaldo o errores que afecten claves criptográficas.
Investigadores independientes informaron posteriormente el uso de modelos de IA para localizar o explicar el problema después de que se conociera el problema subyacente de aleatoriedad. Eso demostró cuán accesible se ha vuelto el análisis de código asistido por IA, pero no estableció que el atacante original utilizara IA.
Coinkite reconoció que su propia revisión utilizando un modelo de IA líder no logró detectar la falla antes del robo. Ese resultado demuestra que los sistemas de IA no encuentran automáticamente todos los defectos graves. Su rendimiento puede depender de las instrucciones que reciben, la cantidad de código proporcionado y si un revisor humano entiende las señales de alerta.
Los críticos dicen que el fallo humano ocurrió primero
Algunos especialistas en seguridad argumentan que centrarse demasiado en los riesgos de la inteligencia artificial (IA) distrae de un fallo básico de ingeniería. Muchos creen que el error de configuración era un tipo conocido de error de software, y revisiones de código convencionales, procedimientos de prueba o auditorías centradas en la generación de semillas podrían haberlo detectado años antes.
Las opiniones opuestas no son necesariamente incompatibles. Un error humano creó la vulnerabilidad y permitió que persistiera, mientras que la IA puede haber reducido el costo de encontrar, comprender o explotarla. Los defensores deben identificar cada debilidad peligrosa, mientras que un atacante solo necesita encontrar una.
El incidente también cuestiona las suposiciones sobre la seguridad de código abierto. El código público permite que expertos independientes inspeccionen el software, pero la disponibilidad por sí sola no garantiza que alguien revise la sección correcta, reconozca un defecto sutil y lo informe antes de que un atacante actúe.
Para los usuarios de Coldcard, la prioridad inmediata es determinar cuándo y cómo se creó su semilla. Cualquier persona con una semilla afectada debe verificar las instrucciones a través de los canales oficiales de Coinkite, instalar el firmware corregido, crear una nueva semilla y mover los fondos con cuidado, vigilando intentos de phishing y mensajes falsos de soporte.
Las preguntas a más largo plazo se centrarán en cuánto bitcoin fue retirado, si los investigadores pueden identificar al atacante, y si la inteligencia artificial desempeñó algún papel decisivo en la detección de la vulnerabilidad. Las empresas de monederos hardware también enfrentarán presión para fortalecer las pruebas de entropía, auditar las configuraciones de compilación y examinar continuamente el código antiguo con expertos humanos y herramientas de IA adversaria.