Una vulnerabilidad en la cartera hardware Coldcard provocó la pérdida de bitcoins ($BTC) para tenedores a largo plazo debido a un error en el firmware, detectado ya en marzo de 2021. Las pérdidas superaron los 116 millones de dólares: se robaron más de 1.800 $BTC de más de 5.200 direcciones.
Este incidente sirvió como catalizador para la creación de una iniciativa voluntaria llamada "Bitcoin Red Team", liderada por el desarrollador $BTC Calle junto con Rob Hamilton, CEO de la compañía de seguros Anchorwatch, especializada en el seguro de auto-custodia. Realizaron una auditoría de emergencia del ecosistema más amplio de código abierto de Bitcoin para comprobar si otras carteras y bibliotecas de código ampliamente utilizadas tenían vulnerabilidades similares que llevaron a la pérdida de fondos de los usuarios de Coldcard.
Dieciséis investigadores de seguridad dedicaron 27,5 horas a un análisis exhaustivo de 390 repositorios de código abierto relacionados con Bitcoin, combinando análisis con inteligencia artificial (IA) y revisión manual. El equipo registró un total de 4.962 vulnerabilidades, incluyendo 85 clasificadas como críticas y 635 como de alta gravedad (una media de 2,31 vulnerabilidades de gravedad alta o crítica por investigador y hora).
La financiación de este sprint la proporcionó Opensats, una organización sin ánimo de lucro que apoya el desarrollo de código abierto de Bitcoin, que asignó casi 40.000 dólares para apoyar el trabajo de los investigadores. Calle calificó el estado de seguridad del ecosistema como "extremadamente pobre".
Analistas que siguieron la auditoría en tiempo real señalaron que solo aproximadamente una quinta parte de las vulnerabilidades detectadas han sido reproducidas de forma independiente hasta ahora, lo que sugiere que muchos de los problemas identificados aún requieren confirmación antes de que los desarrolladores puedan determinar con confianza su grado real de gravedad.
Dónde se concentran las vulnerabilidades
La mayor concentración de problemas graves se produjo en las herramientas de privacidad y coinjoin (software diseñado para ofuscar el rastro de las transacciones de bitcoin en la cadena de bloques), que representaron el 24% de los hallazgos críticos, a pesar de constituir una proporción menor del total de proyectos analizados. Las bibliotecas criptográficas, por el contrario, arrojaron el mayor número absoluto de problemas identificados (1.101), pero solo un 10% relativamente pequeño de ellos se clasificó como de alta gravedad, lo que sugiere que el código es en general más maduro, a pesar de ser el más escrutado por los investigadores.
La mayoría de los 390 proyectos analizados tenían pocos o ningún problema crítico; el peligro real parece concentrarse en un pequeño grupo de herramientas responsables de la generación de claves privadas, la firma y las transacciones que preservan la privacidad, la misma categoría de software que estaba en el centro del fallo inicial de Coldcard que inició todo este trabajo.
El momento de esta revelación es significativo, dado que la comunidad de usuarios de Bitcoin que practica la auto-custodia ha estado las últimas dos semanas asimilando la magnitud de las pérdidas por Coldcard, siendo los usuarios canadienses aproximadamente responsables de una cuarta parte de los fondos robados.
La necesidad de evaluar los retos futuros
El equipo Bitcoin Red Team señaló que la auditoría es la primera fase de un trabajo continuo, no un evento único; está previsto procesar los resultados acumulados, confirmar qué vulnerabilidades son realmente explotables y coordinar una divulgación responsable con los proyectos afectados antes de que se hagan públicos ningún detalle.
Para la comunidad de defensores de la auto-custodia, que aún asimila la magnitud de las pérdidas por Coldcard, esta auditoría sirve simultáneamente como prueba de que los investigadores de 'sombrero blanco' (white hats) se están movilizando ahora a un ritmo que se acerca al de los atacantes maliciosos.
end-content
