¿No hay suerte? Tu billetera de hardware Bitcoin probablemente no sea tan segura como pensabas

La mayoría de las personas no se dan cuenta de que una billetera Bitcoin aislada puede mantener una clave privada alejada de Internet durante años y aún ser vulnerable desde el momento en que se creó su semilla.

La reciente divulgación de un fallo en la generación de números aleatorios de Coldcard hace evidente esta contradicción. Una billetera que ejecute un firmware afectado podría producir una frase de recuperación de 12 o 24 palabras que parece normal, almacenarla sin conexión y firmar transacciones de forma aislada. La generación predecible redujo el universo detrás de esas palabras, permitiendo a un atacante reproducir candidatos en otro lugar e identificar direcciones Bitcoin coincidentes.

Veo que la decisión de seguridad más importante de una billetera se toma al principio. Viene antes del PIN, la copia de seguridad de acero, la bolsa a prueba de manipulaciones y el flujo de firma aislado: ¿qué tan impredecible fue la semilla?

Un generador de números aleatorios moderno y sólido puede proporcionar suficiente entropía. Los dados físicos le dan al propietario una fuente de aleatoriedad que puede ser vista, controlada y mantenida separada del código del fabricante.

La semilla era débil antes de que la billetera se desconectara

El primer informe de CryptoSlate sobre el fallo de Coldcard explicó la ruta del ataque. Las semillas candidatas pueden generarse lejos del dispositivo, convertirse en direcciones públicas y comprobarse contra la actividad en el libro mayor público de Bitcoin.

La causa técnica era casi dolorosamente pequeña. Un cambio de código del 1 de marzo de 2021 movió la generación de semillas de Coldcard a una nueva biblioteca. El firmware de producción definió una configuración llamada MICROPY_HW_ENABLE_RNG como cero, lo que significa deshabilitada, mientras que la integración solo verificaba si la configuración existía. Su presencia envió la generación al retroceso determinista Yasmarang de MicroPython en lugar del generador de números aleatorios de hardware previsto. La ruta afectada se envió en el firmware 4.0.0 el 17 de marzo, según el análisis coordinado de Block.

La salida de la billetera, que parecía ordinaria, ocultaba un espacio de búsqueda drásticamente reducido. La estimación preliminar de Coinkite coloca las semillas afectadas Mk2 y Mk3 en aproximadamente 40 bits de espacio de búsqueda efectivo y las semillas afectadas Mk4, Mk5 y Q en aproximadamente 72 bits. Block identificó un límite separado para dispositivos posteriores: como máximo 2^32 flujos distinguidos de forma segura cuando el estado de retroceso y el historial de llamadas estaban fijos. Las cifras de Coinkite estiman el espacio efectivo que un atacante podría buscar. El límite más estrecho de Block describe una parte del resembrado bajo condiciones fijas, sin reclamar un punto de referencia de ataque de extremo a extremo.

Ambos análisis colocan dispositivos posteriores a la pre-fijación dentro del rango afectado. El aviso de seguridad de Coinkite enumera el firmware Mk4 y Mk5 antes de la versión estándar 5.6.0 o Edge 6.6.0X, y el firmware Q antes de la versión estándar 1.5.0Q o Edge 6.6.0QX. Para Mk2 y Mk3, Coinkite enumera las versiones 4.0.1 a 4.1.9, mientras que Block dice que la ruta comenzó en 4.0.0. Trataría ese límite disputado de manera conservadora.

Actualizar a una versión corregida protege la generación de semillas futuras. Una semilla existente mantiene la entropía que recibió al nacer, y cada dirección derivada de ella comparte el mismo secreto raíz. Cualquiera que haya utilizado una versión afectada debería consultar el aviso y crear una semilla completamente nueva con software corregido y entropía confiable cuando no se pueda establecer la excepción de dados privados. Luego, los fondos deben trasladarse a la nueva billetera. Una nueva dirección de la antigua mnemotecnia preserva la debilidad.

La magnitud del incidente necesita un lenguaje igualmente cuidadoso. Bitcoin Optech informó de una estimación en evolución por encima de 1,000 BTC el 31 de julio. A partir del 2 de agosto, Galaxy Research estimó un sospechado de 1,367.05 BTC en 4,585 direcciones. Un usuario de X que publica como Graham_Quantum también dijo que 18.25245043 BTC salieron de billeteras el 29 de julio. Esa publicación establece el relato en primera persona; la vinculación de transacciones y la causalidad de Coldcard siguen sin verificarse.

Un número mucho mayor describe el movimiento defensivo. El segundo informe de Coldcard de CryptoSlate encontró que 77,402 BTC se movieron de bandas UTXO más antiguas después de la divulgación. El total cubre el movimiento bruto de monedas antiguas que incluyó migración preventiva. Mide una ola de auto-rescate, mientras que la cifra más pequeña de Galaxy es una estimación en evolución de la pérdida sospechada.

Una falla de seguridad puede crear dos choques a la vez: robo y una ola mucho mayor de migración racional. Los datos en cadena registran el movimiento. El motivo requiere contexto.

¿Qué cambia con los dados privados?

La documentación de dados de Coldcard calcula aproximadamente 2.585 bits de entropía para cada lanzamiento independiente de un dado justo de seis caras. Cincuenta lanzamientos proporcionan aproximadamente 129.25 bits de entropía bruta de lanzamiento, apuntando convencionalmente a una seguridad de 128 bits. Noventa y nueve proporcionan aproximadamente 255.91 bits, aproximadamente el objetivo para una seguridad de 256 bits, antes de que la billetera aplique su procedimiento de conversión documentado.

Esos números se alinean con BIP-39, el estándar mnemotécnico ampliamente utilizado. Una frase de 12 palabras codifica 128 bits de entropía más un checksum de 4 bits. Una frase de 24 palabras codifica 256 bits más un checksum de 8 bits.

El checksum detecta errores mientras contribuye con cero nueva imprevisibilidad. Hashear o formatear una entrada débil en una salida más larga preserva el límite subyacente sobre los secretos posibles. Por lo tanto, doce palabras que parecen familiares pueden representar un pequeño subconjunto del espacio que parecen ofrecer.

Los lanzamientos físicos solo ayudan cuando el procedimiento documentado de la billetera los incorpora correctamente. El dado debe ser adecuado para la tarea, cada lanzamiento debe ser genuino e independiente, y la secuencia debe permanecer privada. Patrones reutilizados, fotografías, notas en la nube y entradas en una computadora normal conectada a la red pueden socavar la independencia o el secreto de los lanzamientos.

Para este incidente de Coldcard, Coinkite dice que la migración puede ser innecesaria solo cuando el usuario puede establecer que la semilla final incorporó al menos 50 lanzamientos de dados justos, independientes y privados. Su consejo para la incertidumbre es la migración.

Para mí, los dados importan porque la aleatoriedad generada por el dispositivo pide al propietario que confíe en el hardware, firmware, proceso de construcción y código de integración como una cadena. Un flujo de entrada de dados documentado agrega entropía controlada por el propietario desde fuera de esa cadena. Aproximadamente 50 lanzamientos justos apuntan a 128 bits y 99 apuntan a aproximadamente 256 bits, pero los usuarios deben seguir el procedimiento exacto del dispositivo en lugar de improvisar una conversión.

Una frase de paso BIP-39 fuerte y única cambia el ataque de una manera diferente. Agrega un secreto independiente que un atacante debe descubrir después de encontrar la mnemotécnica. La entropía original de la mnemotécnica permanece sin cambios. Cada frase de paso, incluyendo un error tipográfico, deriva una billetera que parece válida, por lo que la pérdida de la frase de paso exacta puede dejar los fondos destinados fuera de alcance. Un PIN de dispositivo cumple un propósito diferente.

La frase de paso crea un verdadero compromiso. Puede proporcionar una poderosa segunda barrera cuando el propietario puede reproducirla y protegerla. Una copia de seguridad deficiente convierte la misma característica en una forma de quedar bloqueado.

Aleatoriedad débil sigue regresando

Coldcard es la advertencia actual, y la misma falla raíz ha aparecido en billeteras muy diferentes.

En 2023, Ledger Donjon reveló que ciertas versiones de la extensión de navegador Trust Wallet utilizaban una ruta de WebAssembly sembrada con un valor de Mersenne Twister de 32 bits. Las mnemotécnicas aparentemente normales provenían de aproximadamente cuatro mil millones de valores iniciales posibles. El alcance afectado era específico: versiones de extensión de navegador 0.0.172 a 0.0.182 que utilizaban Trust Wallet Core antes de 3.1.1. La Base de Datos Nacional de Vulnerabilidades registra la explotación en diciembre de 2022 y marzo de 2023.

La divulgación de Milk Sad mostró una versión más intuitiva del mismo peligro en Libbitcoin Explorer 3.x. Su comando bx seed utilizaba un Mersenne Twister de 32 bits, sembrado por tiempo, y podía producir la misma mnemotécnica bajo las mismas condiciones de reloj. El conocimiento del tiempo aproximado de creación le daba a un atacante un rango de búsqueda mucho más pequeño que el que sugerían las palabras de recuperación.

Los investigadores encontraron más de 2,600 billeteras de Bitcoin activamente utilizadas en los rangos afectados y estimaron más de $900,000 en robos relacionados a precios de agosto de 2023 en múltiples cadenas. Más de 2,550 de esas billeteras compartían un patrón automatizado y podrían haber pertenecido a un solo propietario, y los investigadores dijeron que algunos drenajes podrían haber involucrado otras debilidades.

Las implementaciones diferían: un retroceso accidental de firmware, una ruta Wasm de extensión de navegador y una herramienta de línea de comandos sembrada por tiempo. Cada una producía una salida que parecía un secreto de billetera de plena fuerza mientras exploraba solo una fracción del espacio aparente.

El consejo de custodia de Bitcoin a menudo comienza después de que existe la semilla: mantenla fuera de línea, utiliza copias de seguridad duraderas, separa responsabilidades y prueba la recuperación. Todo eso sigue siendo importante. La falla de Coldcard retrocede la línea de partida un paso.

Un espacio de aire protege el secreto que le das. La aleatoriedad debe venir primero.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.