Galaxy Research ha identificado una tercera oleada sospechada de ataques dirigidos a direcciones de Bitcoin que se cree fueron generadas por firmware vulnerable de Coldcard, elevando el total estimado drenado a 1.367,05 BTC en 4.585 direcciones.

Coldcard, fabricado por Coinkite, es una de las billeteras hardware Bitcoin con aislamiento de aire (air-gapped) más utilizadas, comercializada específicamente para usuarios que priorizan la seguridad de la autocustodia. El dispositivo está diseñado para generar y almacenar claves privadas completamente fuera de línea, lo que hace que la calidad de su generador de números aleatorios interno sea un supuesto de seguridad fundamental y no simplemente una capa más entre varias.

La última oleada drenó 207,7294 BTC, elevando el total observado combinado a aproximadamente 88,6 millones de dólares al momento de la actualización de Galaxy.

La tercera oleada presenta un patrón de transacción diferente

Las dos primeras oleadas de ataque sospechadas mostraron patrones on-chain similares. Ambas utilizaron una estructura de embudo que consolidaba los fondos en un pequeño número de direcciones colectoras compartidas y se basaron en destinos pay-to-witness-public-key-hash (P2WPKH).

Por el contrario, la tercera oleada empleó destinos pay-to-witness-script-hash (P2WSH) y agrupó un promedio de 6,37 direcciones de víctimas por transacción. Estas diferencias pueden indicar que el mismo atacante ha adoptado nuevas herramientas o, alternativamente, que un operador distinto está explotando la misma debilidad de generación de direcciones.

Galaxy no ha confirmado de forma independiente que todas las direcciones afectadas se originaran a partir del proceso defectuoso de números aleatorios de Coldcard. Los hallazgos de la firma representan una estimación on-chain más que una prueba definitiva de que las tres oleadas provienen de un único atacante o de un único grupo de dispositivos vulnerables.

El total actualizado supera la estimación anterior de hasta 1.083 BTC que se rastreó después de que Block y Coinkite revelaran por primera vez la vulnerabilidad de generación de semillas.

Coinkite amplía la lista de dispositivos afectados

El aviso de seguridad actualizado de Coinkite ahora cubre las semillas Mk2 y Mk3 generadas en las versiones de firmware 4.0.1 a 4.1.9, así como las semillas Mk4 y Mk5 creadas antes del firmware estándar 5.6.0 o del firmware Edge 6.6.0X. Las semillas de Coldcard Q generadas antes de la versión estándar 1.5.0Q o de la versión Edge 6.6.0QX también están afectadas.

Coinkite estima que las semillas vulnerables de Mk4, Mk5 y Q contenían aproximadamente 72 bits de entropía en lugar de los 128 bits previstos. El estándar previsto de 128 bits corresponde a aproximadamente 3,4 × 10^38 combinaciones posibles, un espacio de claves considerado computacionalmente inviable de forzar por fuerza bruta. Con aproximadamente 72 bits, el espacio de búsqueda efectivo se reduce a unos 4,7 × 10^21 posibilidades, una reducción que sitúa a las semillas afectadas dentro del alcance práctico de atacantes determinados que utilizan recursos computacionales modernos.

Hay firmware corregido disponible para cada modelo afectado, pero instalar una actualización no repara una semilla que ya fue creada bajo firmware vulnerable. Importar la misma frase de recuperación en una billetera diferente deja los fondos igualmente expuestos.

Las semillas complementadas con al menos 50 tiradas de dados justas, independientes y privadas no se consideran vulnerables únicamente por este defecto de aleatoriedad. Una frase de contraseña BIP-39 fuerte y única proporciona una capa adicional de protección, aunque Coinkite sigue recomendando que los usuarios afectados migren sus fondos por completo.

Block rastrea el defecto del RNG hasta marzo de 2021

La investigación técnica de Block rastreó la debilidad hasta un cambio de firmware de marzo de 2021 que provocó que la biblioteca de números aleatorios de Coldcard recurriera a una rutina determinista de MicroPython en lugar de utilizar el generador de hardware STM32 del dispositivo.

El firmware versión 4 de Mk2 y Mk3 no añadió entropía criptográfica a esa rutina de respaldo. Los dispositivos más nuevos incorporaron entrada de elemento seguro, pero retuvieron solo cuatro bytes durante la resiembra, lo que limitó los flujos de salida distinguibles de forma segura a no más de 2^32 —aproximadamente 4.300 millones de posibilidades— bajo condiciones fijas de respaldo.

La revelación sigue a los comentarios de ZachXBT, quien anteriormente calificó a las billeteras hardware de "basura" y recomendó utilizar un iPhone dedicado para el almacenamiento de criptomonedas. Sus observaciones abordaron riesgos operativos y de software de billetera más amplios y no identificaron específicamente el defecto de entropía de Coldcard.

Se aconseja a los usuarios afectados instalar el firmware corregido antes de generar una semilla de reemplazo, verificar la nueva copia de seguridad y la dirección de recepción, enviar una pequeña transacción de prueba y transferir el saldo restante solo después de confirmar que los fondos de prueba han llegado.