Investigador reporta falla en Cake Wallet que permitiría desviar pagos de bitcoin

• Según su informe, afectaría a las wallets de Bitcoin en las versiones 6.4.4 y 6.5.0.
• El supuesto ataque requiere un servidor malicioso o un intermediario en la red.

Un investigador de seguridad que firma como "floppy" publicó este 24 de octubre un informe sobre una presunta falla en Cake Wallet, una wallet móvil de código abierto. Según el informe, la falla permitiría desviar pagos de bitcoin hacia un atacante cuando el usuario acelera una transacción pendiente. La empresa no se ha pronunciado sobre el reporte.

El escenario que describe el investigador es concreto: el usuario envía bitcoin, la transacción queda sin confirmar y decide pagar más para que se procese antes. Esa función, llamada RBF (reemplazar por comisión), crea una copia del envío con una tarifa más alta que sustituye al original.

Según el informe, para armar esa copia Cake Wallet no usa sus propios registros. Le pide los datos a un servidor Electrum, el equipo remoto al que se conecta la app para consultar la red sin descargarla completa. El investigador sostiene que la app no comprobaría que lo recibido coincida con lo que pidió.

Dicho de forma simple, sería como pedirle a un tercero la copia de un cheque para reimprimirlo y firmarla sin revisar el nombre del beneficiario. Si el servidor cambiara la dirección del destinatario por la suya, la wallet firmaría igual y el pago terminaría en manos del atacante.

Quién podría aprovecharla, según el informe

El investigador identifica dos perfiles de atacante. El primero sería quien opere el servidor que usa la app. Puede ser el nodo por defecto de Cake Wallet, uno de terceros o uno personalizado que haya elegido el usuario.

El segundo sería un intermediario en la red, por ejemplo en un wifi público. El autor afirma que esto es posible porque la app aceptaría cualquier certificado de seguridad, es decir, no verificaría que el servidor sea quien dice ser. Según el mismo informe, el modo Tor integrado de Cake sí hace esa verificación, por lo que esa vía quedaría cerrada.

El investigador añade que el usuario no tendría cómo notarlo. Si el servidor responde con honestidad la primera consulta y altera las siguientes, la pantalla de confirmación mostraría lo mismo que una aceleración legítima.

Lo que falta por confirmar

El informe incluye una prueba de concepto que, según el autor, se ejecutó en una red de pruebas local de Bitcoin. En ese entorno, asegura, el reemplazo falsificado fue aceptado y confirmado, con el pago enviado a la dirección del atacante.

Sin embargo, el propio autor aclara que no la ejecutó contra la app instalada en un dispositivo. Tampoco hay registros de robos, aunque su publicación en X habla directamente de "robo vía RBF". Por ahora, la falla no ha sido verificada por terceros ni reconocida por Cake Wallet.

El autor también declaró que usó herramientas de inteligencia artificial para investigar el fallo, armar la prueba y redactar el informe. Ese dato hace aún más relevante una revisión independiente del reporte antes de darlo por válido.

El caso tiene un contraste. Ante un robo reciente que afectó a otra wallet, Cake aseguró en su foro oficial que lleva años auditando ese tipo de código. También dijo que intensificó esas revisiones con modelos de IA.

Otro matiz es el plazo. El investigador publicó el reporte cinco días después de enviarlo y acusó al equipo de estar más ocupado con el marketing. Ese margen es mucho más corto que los 90 días habituales en la divulgación responsable de vulnerabilidades.

Precauciones mientras tanto

El informe propone que la app verifique que la transacción recibida corresponda a la que pidió y muestre en pantalla lo que realmente va a firmar. Mientras Cake Wallet no se pronuncie, los usuarios que quieran ser precavidos pueden:

• Evitar la opción de acelerar la comisión (Bump fee) en envíos pendientes.
• Activar el modo Tor de la aplicación.
• Conectarse a un servidor Electrum propio o de confianza.

Más allá de cómo termine el caso, el reporte recuerda que una wallet ligera depende de servidores ajenos para ver la red, y que cada dato que no verifica es un dato en el que confía. Si la falla se confirma, la debilidad no estaría en la criptografía, sino en esa confianza.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.