El CEO de Coinkite, NVK, reavivó un acalorado debate sobre la postura de seguridad de la empresa tras defender las revisiones previas al exploit y afirmar que un nuevo modelo de IA detectó un fallo en la generación de semillas que los auditores humanos pasaron por alto. Lo que dice NVK - El 9 de noviembre, NVK publicó en X que el trabajo de seguridad de Coinkite incluía revisiones de hardware y firmware, herramientas relacionadas con la generación de números aleatorios (RNG) y controles de lanzamiento. Citó al menos dos revisiones de productos pagadas a terceros (una revisión del Mk4 en 2022 y otra del Q en 2024) y afirmó que, antes del exploit, al menos 15 revisiones externas o investigaciones documentadas habían examinado componentes de Coldcard relacionados con el RNG o los procesos de lanzamiento. - NVK también dijo que la revisión de Rob Ham con OpenAI Cybersecurity Harness produjo 85 hallazgos potenciales antes del incidente y que varios dieron lugar a correcciones, pero que el defecto de generación de semillas no figuraba entre ellos. «La incómoda verdad es que hizo falta un nuevo modelo de IA para encontrar lo que los humanos no pudieron», escribió. Reacciones de la comunidad de Bitcoin - El desarrollador de Bitcoin Luke Dashjr respondió que había alertado a Coinkite de manera privada sobre algunos problemas y que ahora los estaba divulgando públicamente. Dashjr recalcó que no afirmaba que todos los elementos señalados fueran errores o pudieran explotarse, y que su revisión había sido una inspección rápida, no una auditoría completa. - Dashjr cuestionó específicamente la insinuación de NVK de que solo una IA avanzada podría haber detectado el problema del RNG. - Otros miembros de la comunidad cuestionaron cómo Coinkite había gestionado el escrutinio externo. Alex Waltz acusó a la empresa de desincentivar la inspección del código; otro comentarista sostuvo que las revisiones puntuales de todo el código son distintas del control de calidad continuo y que es más fácil pasar por alto «una aguja en un pajar» si no se realizan pruebas integradas. - Quienes defendieron a NVK señalaron que anteriormente los revisores habían inspeccionado el sistema de entropía sin reproducir el fallo y retaron a los críticos a presentar un informe de error reproducible en lugar de mensajes privados. Advertencias e investigaciones anteriores - Durante el debate volvieron a circular publicaciones de James O’Beirne. O’Beirne dijo que empezó a examinar el firmware de Coldcard en mayo de 2025 para rastrear las fuentes de entropía, que planteó inquietudes sobre la biblioteca libngu y las constantes codificadas de respaldo de software, y que sugirió enlazar directamente con libsecp256k1. Dijo que no investigó el asunto rigurosamente y que más tarde recibió otro informe creíble según el cual alguien había advertido a Coinkite sobre problemas de entropía en 2021; esto significa que la empresa quizá había recibido varias advertencias anteriores. - El análisis del 5 de agosto de TRM Labs (citado por Galaxy Research) estimó que se robaron aproximadamente 1.816 BTC de más de 5.200 direcciones en cuatro oleadas que comenzaron el 30 de julio. La vulnerabilidad se remonta a un error de configuración de compilación de marzo de 2021 que seleccionó un RNG de software débil; en algunos dispositivos antiguos, la fortaleza efectiva de la semilla cayó a unos 40 bits, en lugar de los 128 previstos, lo que permitió a los atacantes reconstruir las claves sin acceso físico. - En septiembre se informó de movimientos posteriores de los fondos. Alex Thorn, de Galaxy Research, rastreó a un atacante de la tercera oleada que convirtió aproximadamente el 10 % de los bitcoins de ese atacante en ether a través de THORChain. Thorn también dijo que la identidad del atacante «podría ser conocida por las fuerzas del orden», aunque no se informó de ninguna identificación confirmada por el FBI ni de la recuperación de los fondos. Respuesta y recomendaciones de Coinkite - La página de seguridad de Coinkite presenta el registro publicado como un análisis retrospectivo en curso y señala que todavía se está preparando un informe técnico detallado. La página distingue las comprobaciones independientes específicas de una auditoría completa de cada binario de firmware corregido, y enumera trabajos como pruebas de aleatoriedad del hardware, revisiones del código fuente y un proceso de compilación reproducible. - Las versiones actualmente recomendadas son la 5.6.3 para Mk4/Mk5 y la 1.5.3Q para Q. El aviso advierte que las actualizaciones de firmware no pueden reparar las semillas que ya se hayan visto afectadas. Pasos para migrar: generar una semilla nueva, crear una copia de seguridad verificada y una dirección de recepción, enviar una pequeña transferencia de prueba y, después, mover los fondos restantes. Por qué importa - El episodio pone de relieve las tensiones entre las auditorías humanas tradicionales, las prácticas de control de calidad continuo y las nuevas herramientas automatizadas —incluidas las auditorías asistidas por IA— para proteger las carteras de hardware. También subraya las consecuencias duraderas de los errores de configuración y de la cadena de suministro: según se informa, un pequeño error de compilación de 2021 generó una vulnerabilidad que se explotó años después y que costó a los usuarios sumas considerables. Qué esperar a continuación - La comunidad espera el informe técnico detallado de Coinkite y cualquier otra actualización forense de las fuerzas del orden o de las empresas de análisis. Mientras tanto, se insta a los usuarios afectados a seguir las instrucciones de migración —generar semillas nuevas y mover los fondos—, ya que las actualizaciones de firmware por sí solas no pueden salvar las semillas comprometidas. Lee más noticias generadas por IA en: https://app.chaingpt.org/news