Vultisig, el desarrollador de una billetera de criptomonedas multifirma, informa que una actualización publicada en agosto de 2025 resolvió una vulnerabilidad de claves privadas en su software. La compañía no ha revelado públicamente qué versiones estaban afectadas, qué condiciones podían desencadenar la falla ni si algún fondo de usuarios fue comprometido antes de que se lanzara la corrección.

Un reporte de CryptoSlate describe el problema como una fuga crítica de claves privadas que las actualizaciones de agosto bloquearon. Lo que está en juego en esta categoría es excepcionalmente alto: una clave privada funciona como la contraseña maestra de cualquier billetera de criptomonedas, y quien la posee controla completamente los fondos de la billetera, lo que hace de esta una de las vulnerabilidades más graves que un proveedor de billeteras puede enfrentar.

Más allá de atribuir la remediación a las actualizaciones publicadas en agosto, Vultisig no ha emitido un aviso de seguridad público. Al momento de escribir este artículo, no existe un identificador CVE, ni un rango de versiones afectadas, ni un documento técnico que confirme el alcance de la corrección. Los identificadores CVE son el sistema estandarizado utilizado en la industria del software para catalogar vulnerabilidades divulgadas públicamente, y ofrecen a los usuarios y equipos de seguridad un punto de referencia común para verificar si sus propias instalaciones están afectadas.

Por qué una vulnerabilidad de claves privadas es grave

Una clave privada es una larga cadena de caracteres generada al crear una billetera de criptomonedas. Es comparable a la combinación de una caja fuerte: quien la conozca puede abrirla y llevarse todo lo que hay dentro. En el peor de los casos, una vulnerabilidad que filtre o exponga claves privadas podría permitir a un atacante vaciar una billetera sin que el propietario haya hecho nada incorrecto.

Vultisig está construida sobre computación multipartita (MPC), un diseño en el que ningún dispositivo individual contiene jamás la clave privada completa. En cambio, la clave se divide en "partes" entre varios dispositivos, reduciendo el riesgo de que un único punto de falla exponga la clave completa. Una vulnerabilidad en este tipo de sistema podría involucrar el manejo inadecuado de las partes de la clave durante una operación de firma, aunque Vultisig no ha confirmado el mecanismo específico en las divulgaciones públicas revisadas para este artículo.

Las fallas de seguridad de este tipo enteras no son exclusivas de Vultisig. A principios de este año, Electrum corrigió una falla que permitía a servidores maliciosos facilitar el robo de Bitcoin, y un hackeo a un bot de trading de Solana drenó casi 1 millón de dólares de 49 billeteras después de que los atacantes encontraron una debilidad en cómo se almacenaban las claves privadas. En estos incidentes, el hilo común es el manejo del material de claves privadas —el componente del software de billeteras donde un defecto se traduce más directamente en la pérdida de fondos de los usuarios.

Qué deben hacer ahora los usuarios de Vultisig

Para los usuarios de Vultisig, el paso más importante es confirmar que están usando la última versión de la aplicación. Las actualizaciones deben obtenerse de la tienda de aplicaciones o del sitio web oficial de Vultisig —nunca de sitios de terceros, tiendas de aplicaciones no oficiales ni enlaces enviados por mensajes en redes sociales.

Los usuarios también deben revisar las notas de versión oficiales de Vultisig o cualquier comunicación de seguridad publicada en su sitio web o canales sociales verificados. Se espera que estos documentos identifiquen qué versiones contenían la vulnerabilidad y confirmen qué compilación incluye la corrección. Si no se encuentra esa información, los usuarios deben contactar directamente al soporte de Vultisig a través de canales oficiales antes de asumir que su instalación es segura.

Como regla general, nunca comparta su frase de recuperación ni ningún material de claves privadas con nadie, incluidas personas que digan pertenecer al equipo de Vultisig. Los proveedores legítimos de billeteras jamás solicitarán esta información. Cualquier persona que contacte a un usuario sobre un supuesto problema de seguridad urgente y pida la frase semilla está ejecutando una estafa, no una interacción de soporte.

Para un contexto más amplio sobre cómo se propagan las vulnerabilidades de infraestructura, la filtración en la nube de GMO Trading que puso en riesgo más de 26,000 servidores recuerda que las superficies de ataque se extienden más allá de la aplicación de la billetera.

Qué sigue sin aclararse

Varios detalles importantes aún no han sido confirmados en divulgaciones públicas. Vultisig no ha indicado qué números de versión específicos eran vulnerables, si la falla requería una acción particular del usuario para activarse ni si alguna billetera fue explotada antes de que se lanzara el parche. La compañía tampoco ha dicho si la vulnerabilidad fue descubierta internamente o reportada por un investigador de seguridad externo.

Las divulgaciones que conviene esperar son un aviso de seguridad formal con un CVE asignado, la publicación del rango de versiones afectadas y una declaración sobre si alguna billetera fue impactada. Hasta que Vultisig publique un aviso de seguridad formal, los usuarios deben tratar la actualización de agosto como obligatoria y no opcional, y verificar el estado de su instalación lo antes posible.

Aviso: Este artículo tiene fines informativos únicamente y no constituye asesoría financiera ni de inversión. Los mercados de criptomonedas y activos digitales conllev riesgos significativos. Siempre investigue por su cuenta antes de tomar decisiones.