Ocho años de ahorro en Bitcoin se perdieron en quince minutos. Un error del fabricante de hardware ya costó 1367 BTC

Un usuario del subreddit r/Bitcoin en la plataforma social Reddit, que se hace llamar DuckDuckMoss, compartió su historia con la comunidad. Escribe que, debido a un error en el software de su billetera de hardware, perdió sus 2 BTC que había ahorrado durante ocho años. Su publicación es una de las cientos de historias similares que han aparecido en la red desde el 30 de julio, cuando un atacante desconocido comenzó a vaciar las billeteras creadas en dispositivos Coldcard. Según cálculos de Galaxy Research, hasta ahora han desaparecido 1367 BTC de las cuentas de las víctimas, lo que equivale a aproximadamente 88,6 millones de dólares.

Hechos más importantes

• La causa es un error de integración en el software de Coldcard, que desde marzo de 2021 dirigía la generación de frases semilla a un generador de números pseudoaleatorios programático y predecible.
• En lugar de los 128 bits de entropía esperados, las semillas del modelo Mk3 tenían alrededor de 40 bits, y las de Mk4, Mk5 y Q alrededor de 72 bits.
• Tres oleadas de ataques abarcaron 4585 direcciones. El botín asciende a 1367 BTC y hasta ahora no ha sido tocado.
• Coinkite lanzó un software de emergencia para todos los modelos, pero la actualización no repara las semillas generadas anteriormente.
• Resurgió el debate sobre si un inversor individual debería cuidar sus claves privadas por sí mismo.

Una línea de código de marzo de 2021 como fuente de la crisis

Coldcard es una billetera de hardware de la empresa canadiense Coinkite, que solo soporta Bitcoin y ha sido considerada durante años como el hardware para los más exigentes. Su software funciona en un MicroPython modificado. En la configuración de la placa, el fabricante desactivó intencionadamente el soporte integrado para el generador de hardware, ya que tenía su propia implementación. El problema es que la biblioteca libngu solo verificaba si la bandera correspondiente existía, y no cuál era su valor. La compilación pasaba sin advertencias, y la función que obtenía aleatoriedad caía en la ruta de respaldo programática heredada de MicroPython.

Este generador de respaldo se inicializa una vez, en la primera llamada, en función del número de serie del chip y del estado de los relojes. Ninguno de estos valores es un secreto criptográfico. El número de serie es constante y parcialmente visible incluso en el identificador USB del dispositivo, y los registros temporales se pueden limitar a un pequeño número de posibilidades. Un equipo de seguridad de Block publicó una reconstrucción detallada en un informe técnico sobre el generador de emergencia en el firmware de Coldcard.

El cambio se introdujo en el repositorio el 1 de marzo de 2021, y llegó al software lanzado el 17 de marzo con la versión 4.0.0. Todas las direcciones vaciadas se crearon después de esta fecha. El atacante no tuvo que tocar ningún dispositivo. Solo necesitaba reproducir posibles flujos aleatorios, extraer direcciones de ellos y compararlas con la cadena de bloques pública.

Tres oleadas y 4585 direcciones

La primera revisión de las billeteras duró desde las 3:10 hasta las 3:51 hora polaca del 30 de julio y se distribuyó en nueve bloques. Chainalysis calculó que en los primeros diez minutos desaparecieron más de 30 millones de dólares, y la mayor víctima individual perdió alrededor de 1,8 millones de dólares. Las estimaciones iniciales hablaban de 594 BTC de casi 500 billeteras. Análisis posteriores de Galaxy Research elevaron esta cifra a 1082, luego a 1158, hasta que el 1 de agosto se detectó la tercera ola, en la que se extrajeron otros 207,73 BTC de 1912 direcciones. Esta vez, el atacante se llevó saldos de varios miles de dólares, es decir, se contentó con "pequeñas cantidades".

Los fondos robados permanecen intactos en las direcciones del atacante. Los analistas señalan que todas las transacciones tenían la misma tarifa de comisión y no generaban cambio, lo que permite agruparlas, pero en sí mismo no prueba nada. La transferencia colectiva se ve idéntica independientemente de si las monedas son transferidas por el ladrón o por el propietario.

La firma Coinkite publicó una advertencia pertinente el 30 de julio, y al día siguiente lanzaron un software corregido para todos los modelos y ambas rutas de publicación. Sin embargo, el fabricante señala en un comunicado oficial de seguridad que la actualización solo protege nuevas semillas y no repara las ya creadas. Están a salvo aquellos que al crear su billetera añadieron al menos 50 lanzamientos de dados honestos y no registrados. Una contraseña BIP-39 fuerte y única crea una billetera separada y realmente complica la situación, pero el fabricante aún recomienda la migración. Multisig solo protege si el quórum no está compuesto exclusivamente por dispositivos vulnerables. Las tarjetas TAPSIGNER, OPENDIME y SATSCARD funcionan con otro código y el problema no les afecta.

¿Debería el inversor promedio cuidar su propia clave?

Rodolfo Novak, jefe de Coinkite, se disculpó con los usuarios y asumió la responsabilidad por el error, admitiendo que las revisiones internas del código no lo detectaron. Sugerió que la vulnerabilidad podría haber sido encontrada por inteligencia artificial que pasó por versiones anteriores del firmware abierto. Semanas antes, la empresa había pasado el mismo código por uno de los mejores modelos disponibles y no recibió ninguna señal de advertencia. Sin embargo, algunos investigadores creen que el hilo de la IA desvía la atención de un simple error ingenieril que una auditoría normal de generación de claves debería haber detectado hace años.

Las reacciones de la industria son contundentes. El comentarista Guy Swann lo llamó el golpe más doloroso en la historia de Bitcoin dirigido a las personas que se aseguraron correctamente, porque esta vez no se trata de un intercambio con claves calientes, sino de miles de billeteras privadas. Lorenzo Valente de ARK Invest afirmó directamente que los clientes cambiaron el riesgo del contraparte por el riesgo de software, hardware, cadena de suministro y su propio error. Nick Neuman de Casa critica la recomendación del fabricante, ya que añadir cincuenta lanzamientos de dados es inviable para la gran mayoría de los usuarios. David Lawrence de Amicus añade que después de tales incidentes, los nuevos inversores optarán por ETFs y fideicomisarios regulados.

Exactamente esa conclusión sacó el autor de una publicación en Reddit, quien lamenta no haber comprado unidades del fondo de inversión cuando se lanzó. Su caso individual no ha sido verificado públicamente, ya que no proporcionó ni el modelo del dispositivo ni la versión del software. Galaxy Research advierte, por otro lado, que la lista de afectados podría seguir creciendo. La vulnerabilidad ya es pública, y algunos propietarios de semillas vulnerables aún no han transferido sus fondos.