Una vulnerabilidad en las billeteras de hardware Coldcard ha persistido a través de cuatro olas separadas de explotación, provocando el vaciado de billeteras de Bitcoin inactivas. Los titulares a largo plazo que aún no han migrado sus fondos siguen expuestos a ataques continuos.

Como informó anteriormente Cryptopolitan, la brecha inicial que afectó a aproximadamente 500 billeteras no fue un incidente aislado, y las pérdidas acumuladas han superado los 70 millones de dólares.

Hasta el 3 de agosto, los usuarios de múltiples versiones de las billeteras Coldcard fabricadas por Coinkite siguen en riesgo. La única mitigación confirmada es transferir todos los fondos a billeteras recién derivadas y generadas de forma segura lo más rápido posible. Dado que las transacciones de Bitcoin son irreversibles una vez confirmadas en la cadena, es casi seguro que los fondos sustraídos por el atacante sean irrecuperables a través de los canales habituales.

Los dispositivos Coldcard han sido históricamente populares entre los maximalistas de Bitcoin y fueron ampliamente recomendados para almacenamiento en frío. Sin embargo, demostraciones recientes de hackers de sombrero blanco han demostrado que las direcciones vulnerables pueden identificarse utilizando solo unos minutos de computación impulsada por IA.

Antes de la cuarta ola, los datos de Galaxy Research indicaban que las pérdidas estimadas abarcaban 1.196 direcciones, con un total de 1.086,65 BTC.

La cuarta ola muestra una agresividad creciente

Los investigadores on-chain que rastrean las direcciones asociadas con Coldcard y las transacciones de BTC han confirmado el lanzamiento de una cuarta ola de exploits.

Hasta el 3 de agosto, el atacante continuó generando nuevas billeteras de destino. Tras cada barrido completado, las direcciones permanecieron inactivas durante varias horas antes de que fuera atacado el siguiente lote.

Según Alex Thorn de Firmwide Research, la cuarta ola probablemente incluya intentos de ataque contra billeteras multifirma, una desviación del patrón observado en las tres primeras olas. Las configuraciones multifirma requieren múltiples claves privadas para autorizar una transacción y generalmente se consideran más resistentes que las configuraciones de clave única, lo que convierte a esta escalada en un cambio notable en las capacidades del atacante. Se estima que 857 direcciones fueron atacadas en esta ola, con pérdidas de aproximadamente 486,11 BTC.

El atacante desplegó múltiples billeteras de destino, utilizando direcciones recién generadas para vaciar sistemáticamente los fondos de los usuarios de Coldcard antes de consolidar las ganancias en billeteras más grandes.

Los reportes de pérdidas han surgido entre múltiples influencers y comentaristas de la comunidad criptográfica, incluidas publicaciones en X y otros reportes.

Un desafío fundamental con los dispositivos Coldcard es su uso típico como soluciones de almacenamiento en frío, lo que los hace menos accesibles para transferencias rápidas de fondos y actualizaciones de seguridad. Algunos usuarios incluso habían grabado sus claves privadas en placas de metal para mayor durabilidad física, pero esta medida resultó ineficaz contra el exploit.

El atacante aparentemente depende de procesos computacionalmente intensivos para exponer lotes sucesivos de billeteras vulnerables. Si bien este enfoque puede ralentizar el ritmo de los barridos de nuevas direcciones, la vulnerabilidad subyacente persiste, y es posible que ocurran olas adicionales más allá de la cuarta.

Implicaciones más amplias para la autocustodia de Bitcoin

Durante años, la narrativa predominante de Bitcoin ha posicionado a la autocustodia como el estándar de oro para la seguridad de los activos. Los hackeos a exchanges, las cuentas congeladas y las preocupaciones de privacidad han sido los principales argumentos que han llevado a los usuarios a retirar sus monedas de las plataformas centralizadas.

Si bien Bitcoin se ha perdido anteriormente debido a billeteras comprometidas, un evento de explotación masiva vinculado a un dispositivo de hardware específico representa un desarrollo sin precedentes. Las billeteras de hardware de fabricantes como Ledger y Trezor no han reportado fallas sistémicas de entropía comparables, lo que subraya que la vulnerabilidad de Coldcard proviene de modificaciones de código específicas de la implementación y no de un defecto inherente en los principios del almacenamiento en frío.

Un examen más detallado del código base de Coldcard reveló que la plataforma había modificado deliberadamente aproximadamente 2.500 líneas de código con documentación mínima, introduciendo entropía débil en el proceso de creación de billeteras, como señaló el defensor de Bitcoin @hodlonaut en X. En términos criptográficos, la entropía se refiere a la aleatoriedad utilizada para generar claves privadas; cuando la entropía es débil o predecible, las claves resultantes pueden ser reproducidas por un atacante con suficientes recursos computacionales.

Los informes indican que se desactivó una función de entropía más robusta para garantizar que el código se ejecutara sin problemas, lo que potencialmente expuso a miles de billeteras a ser descubiertas por adversarios.

El incidente de Coldcard también ha intensificado el escrutinio sobre las semillas débilmente derivadas, que ahora pueden identificarse utilizando recursos computacionales alquilados. Jameson Lopp recordó en X que otras billeteras de uso generalizado habían revelado previamente fallas relacionadas con la entropía y habían emitido parches antes de que se produjera cualquier explotación. El contraste es revelador: la divulgación transparente y la remediación antes de la explotación son la norma de la industria, y el caso de Coldcard ilustra las consecuencias cuando una vulnerabilidad de esta naturaleza permanece sin parchear. No obstante, las direcciones débilmente derivadas en el almacenamiento en frío siguen siendo un objetivo viable para los ataques asistidos por IA.