Más de 15 atacantes independientes aprovecharon la vulnerabilidad de Coldcard — según una estimación proporcionada por Alex Thorn, jefe de investigación de Galaxy Digital, basándose en nuevos informes de las víctimas. Thorn comentó en la red social X que las quejas de las víctimas ayudaron a la empresa a identificar a los atacantes, quienes de otra manera habrían pasado desapercibidos: la naturaleza de este exploit difiere de un hackeo a un exchange centralizado.
«Gracias al informe de una sola víctima sobre el robo de menos de 1 $BTC, descubrimos un nuevo ataque durante el cual se extrajeron 12 $BTC de 126 direcciones», escribió Thorn.
Según datos de Galaxy Research, la estimación de pérdidas por el exploit de Coldcard ha aumentado a $100 millones en tres oleadas confirmadas de ataques. También se identificó una cuarta oleada, lo que podría elevar las pérdidas totales a unos $130 millones en Bitcoin.
El ataque ha reavivado el debate sobre la seguridad y la conveniencia de almacenar Bitcoin en carteras frías.
«$2 en protección contra IA» podrían haber prevenido el exploit — opinión de Dragonfly
Aproximadamente $2 gastados en verificar el código con IA podrían haber prevenido el exploit de Coldcard — así comentó Haseeb Qureshi, socio director de Dragonfly, sobre los informes en redes sociales que indican que algunos modelos de inteligencia artificial detectaron la vulnerabilidad en menos de 20 minutos.
Sin embargo, es poco probable que los modelos de IA hubieran podido detectar esta vulnerabilidad por sí mismos antes de que la información sobre ella se hiciera pública.
Vulnerabilidad en la configuración de la clave privada
Las crecientes capacidades de los modelos de IA reducen significativamente el coste y el tiempo necesarios para descubrir nuevas vulnerabilidades en el ámbito de las criptomonedas. Además, el propio mecanismo de generación de la clave privada del dispositivo pudo haber influido en el éxito del ataque a Coldcard.
El nivel de entropía de la clave privada de Coldcard era de solo 40 bits — notablemente inferior al estándar adoptado por otras carteras, donde una frase semilla de 12 palabras proporciona 128 bits de entropía. Esta desviación del estándar comúnmente aceptado fue el resultado de un error en el firmware, que simplificó considerablemente la tarea para los atacantes.
El coste de descubrir vulnerabilidades similares seguirá disminuyendo a medida que aumenten las capacidades de los modelos de IA y se utilicen de manera más amplia tanto en ciberseguridad como en la realización de ataques.
El ataque a Coldcard sigue siendo uno de los mayores incidentes en la historia de las carteras hardware: las pérdidas confirmadas ascienden a $100 millones, y podrían aumentar a unos $130 millones con la cuarta oleada. La participación de más de 15 atacantes independientes muestra cuán ampliamente se difundió la información sobre la vulnerabilidad tras su divulgación.
Opinión de la IA
Desde la perspectiva del análisis de datos automático, el caso de Coldcard recuerda a la historia de la vulnerabilidad «Milk Sad», descubierta en 2023 en la herramienta Libbitcoin Explorer. En ese caso, el generador de claves limitaba la entropía a solo 32 bits en lugar de los 256 requeridos, lo que permitió a los atacantes recuperar las claves privadas de miles de carteras. El paralelismo es ilustrativo: los 40 bits de entropía de Coldcard superan la cifra de Libbitcoin, pero siguen siendo órdenes de magnitud inferiores a los 128 bits estándar, lo que significa que este tipo de errores en el firmware pueden repetirse en diferentes productos independientemente de su reputación.
