Coinkite Lanza Firmware Corregido Después del Error de Coldcard; AI Probablemente Involucrada en la Brecha
Revista Bitcoin
Coinkite lanza firmware fijo después del error de Coldcard; es probable que la IA esté involucrada en la brecha
Se cree que más de mil bitcoins han sido robados hasta ahora en un hackeo que comenzó a discutirse en las redes sociales en la tarde del 30 de julio. Coinkite, uno de los fabricantes de billeteras de hardware más reputados, reveló tener un error crítico en la forma en que generaba claves privadas seguras para sus billeteras de hardware de Bitcoin. Los expertos de la industria creen que se utilizó IA en la brecha.
Los dispositivos Coldcard MK3 con la versión de firmware 4.0.1 (marzo de 2021) hasta 4.1.9 son los más afectados. Las semillas de 12 o 24 palabras generadas por el dispositivo que no incluían tiradas de dados generadas por el usuario o una frase de paso adicional BIP 39 son vulnerables.
Los usuarios que encajan en esta categoría, que tienen bitcoins en un Coldcard MK3 y no utilizaron la función de tirada de dados para obtener entropía adicional o la frase de paso adicional, deben considerarse en riesgo y mover sus monedas lo antes posible de las billeteras. El escritor técnico de Bitcoin Magazine, Shinobi, ha publicado una guía sobre el tema, y Coinkite también ha publicado una guía y un aviso.
La vulnerabilidad era una línea de código específica en el firmware, una base de código de software de bajo nivel que controla el hardware. Este firmware parece ser actualizable. El aviso de Coinkite se actualizó esta mañana, aconsejando a los usuarios que actualicen el firmware del dispositivo para los tres chips, dispositivos MK3, MK4 y MK5, incluyendo el Coldcard Q:
“Actualizado el 31 de julio de 2026 a las 9:33 a.m. EDT: El firmware corregido ya está disponible. Los usuarios de Mk4 y Mk5 deben actualizar a la versión 5.6.0 o posterior. Los usuarios de Q deben actualizar a la versión 1.5.0Q o posterior. Para Mk3, actualice a la versión 4.2.0 o posterior.”
Coinkite también explicó en su aviso que actualizar el firmware no significa que las claves privadas y públicas generadas por el firmware vulnerable antes de la actualización sean ahora seguras; esas claves siguen siendo vulnerables ya que fueron efectivamente creadas con una contraseña débil. Después de actualizar el firmware, se necesita crear una nueva billetera y los fondos deben enviarse en cadena a las nuevas direcciones para asegurar los fondos. Coinkite escribió:
“Actualizar el firmware no cambia ni repara una semilla existente. Si su semilla fue generada antes de la versión de firmware corregido para su modelo, siga la guía de migración a continuación a menos que la excepción de entropía de dados independiente se aplique a usted.”
Algunas billeteras multisignatura pueden estar en riesgo
Peter Todd, colaborador principal e ingeniero de ciberseguridad, abordó hoy casos específicos para billeteras multisignatura que utilizan un umbral de Coldcards para asegurar fondos. “Caso de ejemplo: tiene un 2 de 3, con 2 Cold Cards y un 3er dispositivo no comprometido. Si mueve sus fondos, en el momento en que su script se revela por primera vez – previamente oculto detrás del hash de la dirección – el atacante ahora sabe lo suficiente como para usar las 2 claves de cold card comprometidas para robar sus fondos.”
La transacción que revela el script multisig podría estar sin confirmar, dando a los hackers suficiente tiempo para crear una transacción competidora con una tarifa más alta. Afortunadamente, tales casos tienen una solución: el grupo de minería MARA puede ayudar en este caso con su servicio de minería en mempool privado, Slipstream; “porque prometen mantener tu transacción – y por lo tanto las claves públicas – en secreto hasta que ya estén en un bloque. Reduciendo drásticamente la capacidad del atacante para robar los fondos”, dijo Todd. Agregó que “Si ya has reutilizado direcciones, esto no es relevante, y solo deberías intentar mover tus fondos lo antes posible. Pero si no lo has hecho, MARA podría ser capaz de ayudar.”
Más allá de la crisis inmediata
NVK, uno de los cofundadores de Coldcard, publicó una larga entrada en X con un análisis inicial más allá de los pasos básicos de seguridad necesarios para asegurar los fondos. En ella, escribió que la empresa está “comprometida a trabajar con los usuarios afectados que quieran presentar un informe policial, una reclamación de seguro o su propia investigación”, incluyendo “un resumen escrito del incidente específico a tu pérdida y cualquier dato de transacción que podamos compartir”.
Más allá de la crisis inmediata, NVK señaló un cambio tecnológico más amplio a medida que las capacidades de hacking de la IA comienzan a cambiar las dinámicas y expectativas anteriores de ciberseguridad. En la entrada del blog escribió:
“A todos los demás desarrolladores: creemos que esta es una realidad sobria del nuevo paradigma de IA. La revisión de código asistida por IA ahora puede encontrar errores latentes a una velocidad que supera incluso a los expertos más experimentados de la industria. Si tu firmware es de código abierto o ha sido público alguna vez, asume que ya está siendo leído por atacantes y defensores por igual.”
El hackeo y más de 70 millones de dólares en fondos robados estimados en las últimas 24 horas son una recompensa efectiva pagada a los hackers que ahora probablemente están auditando cada base de código de billetera disponible en busca de vulnerabilidades. Mientras que la industria de Bitcoin y la criptografía en general ha operado bajo la suposición de que los hackers probarán su código, el desarrollo de modelos de IA optimizados para la ciberseguridad acelera estos procesos.
Expertos de la industria se reunieron en una larga llamada pública de X Spaces anoche, discutiendo el tema durante muchas horas. Más allá de las recomendaciones inmediatas y respondiendo preguntas a los usuarios de Bitcoin a lo largo de los largos Spaces, también se discutió el análisis de lo que probablemente seguirá en las próximas semanas. Es probable que otros proveedores de billeteras sean investigados, y especialmente los proyectos de código abierto que generan material de clave privada serán probados.
El X Spaces no fue grabado, probablemente para preservar la privacidad de todos en la llamada; sin embargo, el sentimiento inicial sugiere que las empresas necesitarán auditar su código con los últimos modelos de frontera, como cuestión de supervivencia. Los últimos modelos de IA orientados a la ciberseguridad de Anthropic, OpenAI, Kimi K3 de Moonshot y otros ya están disponibles para el público. Muchas empresas en la industria del Bitcoin ya los utilizan para probar la integridad del código, pero algunas podrían no estar haciéndolo, y la carrera por encontrar vulnerabilidades en el código orientado a billeteras seguramente continuará, especialmente en las próximas semanas.
En última instancia, hoy lamentamos monedas perdidas, y ocurre un estado de introspección y revisión cuidadosa. Más allá de este hackeo ahora histórico habrá una industria de autocustodia de código abierto e infraestructura que probablemente será órdenes de magnitud más segura, con lecciones muy difíciles aprendidas. Después de todo, cada hacker con un agente de IA probablemente esté probando defensas ahora.
Billeteras Multi-vendedor, Multi-clave y Pactos
Las futuras billeteras de alta soberanía, ya sea a nivel minorista o corporativo, probablemente no dependerán de ningún vendedor único. Las billeteras multisignatura, cuando se hacen bien, pueden distribuir los riesgos de vulnerabilidad a través de diferentes bases de código, equipos y hardware.
La entropía generada por los usuarios también fue un tema importante en los Espacios X discutidos anteriormente, con la entropía generada por el lanzamiento de dados mencionada regularmente como una solución. Coldcards, así como otras billeteras de hardware como Foundation Devices, guían a los usuarios sobre cómo agregar su propia entropía correctamente; se necesitan lanzar muchos dados, idealmente más de cien lanzamientos individuales. Sin embargo, una vez hecho, los lanzamientos de dados representan una fuente de aleatoriedad no basada en software para billeteras que también separa a los usuarios de los riesgos de casos extremos en la entropía generada por software o hardware.
Los convenios, un popular soft fork entre un cierto nicho en la industria de Bitcoin, también han comenzado a ser mencionados como un paso adicional para fortalecer la industria de la autocustodia. Esta actualización al consenso de Bitcoin, que podría ser difícil de lograr si es que se logra, podría otorgar a los usuarios importantes capacidades de contratos inteligentes, como una billetera que solo puede enviar a una lista blanca de direcciones, algo que no es posible en el script de Bitcoin hoy en día.
Esta publicación Coinkite Lanza Firmware Corregido Después del Error de Coldcard; AI Probablemente Involucrada en la Brecha apareció primero en Bitcoin Magazine y está escrita por Juan Galt.
Fuente: BitcoinMagazine