Este prolífico investigador de blockchain, conocido por revelar las identidades de los hackers detrás de algunos de los mayores robos en el ámbito de las criptomonedas, escribió en X que actualmente no planea rastrear ni investigar el incidente de Coldcard. Señaló que se enfoca principalmente en los ecosistemas que valoran su trabajo, añadiendo que los partidarios del enfoque "maximalista" de Bitcoin no son patrocinadores o defensores de sus investigaciones, por lo que tiene menos obligación de brindar asistencia.
Esta declaración se produjo en un momento en que el hackeo de Coldcard entraba en su quinto día y el monto total de los daños continuaba creciendo. Anteriormente, ZachXBT había trabajado de manera pro bono en grandes casos, y su publicación indica una brecha sustancial entre la buena voluntad que le muestra la comunidad de Bitcoin y los esfuerzos que se le exigen cuando algo sale mal.
Estado actual del hackeo de Coldcard
La causa de la vulnerabilidad radica en un defecto en el firmware de las billeteras de hardware del fabricante canadiense Coinkite. Este error afectó a los dispositivos Coldcard Mk3 con versiones de firmware desde la 4.0.1 hasta la 4.1.9, haciendo que algunas billeteras generaran la semilla de entropía mediante un generador de números aleatorios de software en lugar del chip especializado del dispositivo, lo que hacía que algunas semillas fueran predecibles.
La primera oleada de ataques ocurrió el 30 de julio, cuando aproximadamente 594 $BTC, con un valor de alrededor de 38 millones de dólares en ese momento, fueron retirados de casi 500 direcciones inactivas en menos de 30 minutos. Coinkite lanzó un parche de firmware en dos días, pero los daños continuaron aumentando, y para el 2 de agosto, Galaxy Research estimó que, como resultado de tres oleadas separadas de ataques, un total de 1,367 $BTC por valor de 88.6 millones de dólares habían sido robados de 4,585 direcciones.
La rapidez y precisión de los robos generaron especulaciones de que herramientas automatizadas, posiblemente utilizando inteligencia artificial, podrían haber ayudado al atacante a identificar y vaciar las direcciones vulnerables en cuestión de minutos después de cada ataque. La magnitud de los robos continuó creciendo a pesar del fuerte aumento de los fondos robados que llegaban a los intercambios y del movimiento renovado de $BTC antiguos e inactivos anteriormente relacionados con el caso.
El almacenamiento de datos agrava la reacción negativa
La forma en que Coinkite manejó las consecuencias del incidente se convirtió en un punto de controversia aparte, dado que la empresa envió correos electrónicos a todas las direcciones de clientes que pudo encontrar en sus bases de datos de tienda y boletines (algunas que datan de 2019) para advertirles sobre la vulnerabilidad.
Esto contradecía declaraciones anteriores del CEO Rodolfo Novak de que Coinkite elimina los datos de los clientes después de 90 días de la compra y ofrece opciones de compra anónimas. Posteriormente, Coinkite admitió que almacena indefinidamente las direcciones de correo electrónico proporcionadas al realizar una compra, y confirmó que no existe una política de eliminación de estos datos, lo que provocó una oleada de críticas separada, no relacionada con el hackeo en sí.
Novak defendió el nivel general de seguridad de la empresa, señalando que los competidores enfrentan regularmente filtraciones de datos y que Coinkite se toma este asunto muy en serio. Sin embargo, este incidente ya comenzó a socavar la confianza en la auto-custodia de criptomonedas y podría empujar a inversionistas más cautelosos a volver a los fondos cotizados en bolsa en lugar de gestionar sus propias claves.
Esta historia también se ha convertido en un drama en la cadena de bloques, que va más allá del robo mismo. Una oferta descarada para lavar el bitcoin robado, dirigida al hacker, fue publicada directamente en la cadena de bloques de Bitcoin, convirtiendo el caso en un espectáculo público que se desarrolla en tiempo real en las redes sociales y en los datos de la cadena de bloques.
Dado que pesos pesados como ZachXBT se han apartado, la carga de rastrear los 1,367 $BTC robados recae ahora más en empresas como Galaxy Research, que publica actualizaciones a medida que evoluciona la actividad de la billetera del atacante. Han surgido informes de que el error de entropía que afecta a los dispositivos Coldcard Mk3 se remonta a la versión de firmware de marzo de 2021, lo que significa que cualquier semilla de billetera generada en esa versión durante los últimos más de cuatro años aún podría ser vulnerable, hasta que los propietarios la cambien por una nueva semilla con el firmware parcheado.
