El microcontrolador popular utilizado en miles de millones de dispositivos IoT y criptobolsillos contiene errores graves que amenazan el robo de bitcoins.
La vulnerabilidad, que recibió el identificador CVE-2025-27840 en la base de datos NIST, afecta al chip ESP32, utilizado para la conexión Wi-Fi y Bluetooth. El error permite a los delincuentes infectar permanentemente los microcontroladores a través de actualizaciones, proporcionando oportunidades para futuros ataques.
Después de una violación, los delincuentes pueden firmar transacciones criptográficas sin autorización y robar claves privadas de forma remota.
El microcontrolador instalado en billeteras hardware como Blockstream Jade también tiene una entropía insuficiente en el generador de números pseudoaleatorios (PRNG), utilizado para crear la firma de la transacción. Esto permite a los delincuentes adivinar pares de claves mediante un ataque de fuerza bruta.
Durante los experimentos, los especialistas verificaron los vectores de posibles ataques a través de errores identificados. La implementación de scripts permitió:
- generar claves privadas inválidas, utilizando fallos en el PRNG;
- falsificar firmas de bitcoin, gracias a una hash incorrecta;
- extraer claves privadas mediante ataques de grupos pequeños y manipulación de operaciones criptográficas ECC;
- generar claves públicas falsas a través de la explotación de la ambigüedad de la coordenada Y en la curva ECC.
En los estudios, los expertos de Crypto Deep Tech utilizaron una billetera real con 10 BTC.
«La implementación de mecanismos de protección confiables y actualizaciones de seguridad regulares son elementos clave para garantizar un funcionamiento seguro y confiable de los sistemas digitales. La necesidad de aumentar la seguridad en dispositivos y redes, como el ESP32, es cada vez más relevante», concluyeron los especialistas.
Recordemos que en marzo, el fabricante de billeteras criptográficas hardware Trezor solucionó una vulnerabilidad en los modelos Safe 3 y Safe 5. El problema estaba relacionado con el microcontrolador utilizado para realizar operaciones criptográficas.#VoteToDelistOnBinance