¿Fue la IA la que ayudó a descubrir la vulnerabilidad en el sistema de seguridad de Coldcard?
El 30 de julio, aproximadamente 594 BTC (unos 38 millones de dólares) fueron transferidos desde unos 500 monederos de Bitcoin, afectando potencialmente hasta 1.196 direcciones en 41 minutos. Las pérdidas totales se estimaron posteriormente en unos 1.128 BTC (71,1 millones de dólares). El denominador común era que las frases semilla (seeds) de recuperación se habían generado en dispositivos de hardware Coldcard de la compañía canadiense Coinkite.
Coinkite emitió una alerta urgente: una vulnerabilidad en la generación de números aleatorios en ciertos dispositivos Coldcard (principalmente Mk3 con firmware 4.0.1 de marzo de 2021 y algunos Mk4/Mk5/Q) redujo drásticamente la entropía efectiva de la semilla. En los casos más graves, la entropía bajó de los 128 bits previstos a unos 40 bits, haciendo posible un ataque por fuerza bruta. El error se originó hace cinco años por una configuración defectuosa durante la compilación que activaba inadvertidamente una función de generación débil en lugar del generador de hardware seguro.
Rodolfo Novak, CEO de Coinkite, se disculpó públicamente. Coinkite sugirió que la vulnerabilidad podría haber sido descubierta mediante el uso de IA para analizar su código de firmware abierto, advirtiendo a otros desarrolladores sobre esta nueva realidad. Investigadores independientes confirmaron que podían usar modelos de IA para identificar el problema una vez conocido, aunque no hay pruebas de que el atacante original lo utilizara.
Algunos expertos en seguridad criticaron el enfoque en la IA, argumentando que el error humano básico y las auditorías tradicionales deberían haber detectado la vulnerabilidad antes. El incidente subraya que el código abierto no garantiza la seguridad por sí solo.
Los usuarios afectados deben generar una nueva semilla con el firmware parcheado y transferir sus fondos. El caso plantea cuestiones sobre la mejora de las pruebas de seguridad y la auditoría continua del código tanto por expertos humanos como con herramientas de IA.
cryptonews.ruHace 4 hora(s)
