Billetera de hardware Coldcard hackeada: piratas informáticos retiraron 594 bitcoins en 25 minutos
Las carteras hardware han sido consideradas la forma más segura de almacenar criptomonedas, pero un reciente incidente con los dispositivos Coldcard de Coinkite cuestiona esta idea. El 30 de julio de 2026, atacantes drenaron 594.5 bitcoins (unos $40 millones) de quinientas direcciones en solo veinticinco minutos.
La causa fue un error en el código introducido en marzo de 2021 y no detectado durante cinco años. Un error tipográfico en una macro desactivó la función del chip seguro que generaba números aleatorios verdaderos para crear la frase semilla (seed phrase). En su lugar, las claves se generaban usando datos predecibles, como el número de serie del procesor y la hora del sistema, reduciendo drásticamente la entropía y haciéndolas vulnerables a ataques por fuerza bruta offline.
Los atacantes no necesitaron acceso físico. Simplemente generaron millones de frases semilla posibles basándose en los parámetros del generador comprometido, las contrastaron con el registro público de la cadena de bloques y firmaron transacciones para robar los fondos.
Inicialmente, Coinkite declaró que los modelos nuevos no estaban en riesgo, pero luego reconoció que todos los dispositivos con firmware afectado eran vulnerables. El CEO, Rodolphe Novak (NVK), se disculpó, asumiendo la responsabilidad, pero descartó compensaciones financieras para los usuarios afectados.
Los propietarios de dispositivos vulnerables deben actualizar el firmware a una versión segura, generar una NUEVA frase semilla en el dispositivo actualizado y transferir TODOS sus fondos a direcciones derivadas de esta nueva semilla. El uso de una frase de contraseña BIP-39 ayuda, pero no sustituye este proceso. Otros productos de Coinkite (TAPSIGNER, OPENDIME, SATSCARD) no se vieron afectados.
El incidente subraya que incluso el hardware especializado requiere auditorías de código independientes y continuas, especialmente en funciones criptográficas críticas.
cryptonews.ruHace 9 hora(s)
