Una falla de seguridad en dispositivos canadienses diseñados para almacenar bitcoin fuera de internet habría permitido a hackers robar criptomonedas valoradas en más de $140 millones canadienses, en uno de los incidentes recientes más graves relacionados con billeteras físicas.
Los dispositivos afectados son Coldcard, fabricados por Coinkite, una empresa de seguridad de bitcoin fundada en Toronto en 2012. Estas billeteras permiten mantener las claves privadas fuera de línea y están diseñadas precisamente para reducir el riesgo de ataques informáticos.
Sin embargo, investigadores descubrieron que versiones anteriores del software utilizado por Coldcard contenían una falla en la generación de las frases secretas que protegen las billeteras.
En lugar de producir claves con el nivel esperado de aleatoriedad, el sistema podía generar combinaciones menos impredecibles de lo debido. Esa debilidad habría permitido a atacantes con suficiente capacidad informática calcular o adivinar determinadas claves y transferir el bitcoin almacenado sin necesidad de tener físicamente los dispositivos.
Según un análisis de Galaxy Research, una primera ola de ataques ocurrida el 30 de julio drenó más de 1,000 bitcoins de 1,196 billeteras en apenas 41 minutos. Dos episodios adicionales elevaron las pérdidas estimadas a cerca de US$89 millones, equivalentes a más de $120 millones canadienses según el tipo de cambio, mientras otras estimaciones citadas por medios canadienses sitúan el valor total por encima de $140 millones.
La investigación continúa y los especialistas han advertido que no todas las transacciones identificadas en la cadena de bloques han podido vincularse definitivamente con la vulnerabilidad.
El problema afectó especialmente a versiones antiguas de Coldcard. Informes técnicos señalan que los modelos Mk2 y Mk3 presentan el mayor riesgo, aunque también se identificaron debilidades en frases generadas previamente por modelos Mk4, Mk5 y Q.
Coinkite publicó actualizaciones de firmware para corregir la falla en la generación de nuevas claves. Sin embargo, actualizar el dispositivo no resuelve el problema si la frase secreta original ya fue creada utilizando software vulnerable.
En esos casos, la recomendación es generar una nueva frase de recuperación con el firmware corregido y trasladar inmediatamente los fondos a una nueva billetera. Los usuarios tampoco deben compartir sus palabras de recuperación, PIN, contraseñas o claves privadas con servicios de soporte ni introducirlas en sitios web.
El director ejecutivo de Coinkite, Rodolfo Novak, pidió disculpas públicamente y la compañía aseguró que está investigando el incidente y colaborando con autoridades.
El caso resulta especialmente significativo porque una billetera física, conocida como “hardware wallet”, suele ser presentada como una de las formas más seguras de almacenar criptomonedas.
A diferencia de mantener bitcoin en una plataforma de intercambio, estos dispositivos conservan las claves privadas fuera de internet. Pero el incidente demuestra que la seguridad también depende de la calidad del software y, especialmente, de la manera en que se generan las claves criptográficas.
Cuando una persona posee bitcoin directamente, la frase de recuperación de 12 o 24 palabras funciona esencialmente como la llave maestra de sus fondos. Si alguien obtiene o logra reconstruir esa frase, puede transferir las criptomonedas sin autorización y las transacciones generalmente no pueden ser revertidas.
El episodio también subraya una diferencia importante frente a las cuentas bancarias tradicionales. Las criptomonedas mantenidas bajo custodia propia normalmente no cuentan con las mismas protecciones contra fraude o seguros de depósitos disponibles en el sistema financiero convencional.
Para los usuarios de Coldcard, la advertencia es clara: verificar el modelo y versión del firmware, consultar únicamente las instrucciones oficiales del fabricante y, si la frase de recuperación fue generada con una versión vulnerable, crear una nueva billetera y mover los fondos.
