La falla detrás de más de 83 millones de dólares en robos de bitcoin a Coldcard no se trata solo de un fallo puntual de una billetera de hardware, según el cofundador de Casa, Jameson Lopp. Esto muestra un cambio más amplio en ciberseguridad, con la inteligencia artificial reduciendo el tiempo necesario para que tanto atacantes como defensores identifiquen vulnerabilidades de software.
En el podcast The Starting Block de The Block, Lopp afirmó que los modelos de lenguaje grandes (LLM) están cambiando la seguridad del software al minimizar el costo de descubrir errores.
“Los avances en los modelos de lenguaje grandes están cambiando drásticamente el panorama de la seguridad”, dijo, al afirmar que el incidente de Coldcard es uno de los primeros ejemplos de este fenómeno, que se espera tenga repercusiones para muchas billeteras.
Una carrera que funciona en ambos sentidos
Según Lopp, no se trata tanto de un mal funcionamiento del hardware como de cambiar el software de seguridad. De ser un privilegio exclusivo de equipos de seguridad bien financiados, el análisis de código impulsado por IA se ha vuelto algo habitual. Como resultado, los atacantes ahora pueden acceder a repositorios de código públicos con vulnerabilidades omitidas antes de que los desarrolladores las encuentren.
El CEO de Coinkite, Rodolfo Novak, llegó a la misma conclusión al tiempo que reconocía su responsabilidad en relación con el fallo del firmware. Según él, el incidente es “una realidad sobria del nuevo paradigma de la IA”, con auditorías asistidas por IA capaces de descubrir fallas mucho más rápido que las auditorías manuales tradicionales.
Sorprendentemente, en su informe anterior, Cryptopolitan mencionó que Coinkite había empleado una aplicación de inteligencia artificial para analizar su código antes de ser hackeado.
Según informó Tradingview, aquel análisis no pudo detectar la debilidad, lo que pone de relieve que tanto los atacantes como los defensores tienen acceso a una tecnología de IA similar, lo que supone una ventaja para quien detecta la falla primero.
Qué salió realmente mal dentro del dispositivo
La debilidad surgió debido al método de generación de claves de monedero de recuperación en algunas versiones del firmware de Coldcard. Según la información compartida por el equipo de ingeniería y seguridad de Bitcoin de Block, informada por el New York Post, los dispositivos vulnerables emplearon cierta información predecible del chip (como el número de serie del procesador y los datos del reloj) en lugar de usar la aleatoriedad adecuada al generar los números.
Como resultado, los ciberdelincuentes pudieron reconstruir las frases de recuperación utilizadas en los monederos y robar los fondos sin acceder físicamente al monedero.
El firmware defectuoso se introdujo en marzo de 2021 y solo se reparó en el lanzamiento de la versión 4.21. Según Coinkite, simplemente actualizar el firmware no resuelve el problema. Las personas que crearon monederos usando las versiones defectuosas deberían generar una nueva frase semilla de recuperación y transferir su dinero, ya que la vulnerabilidad está estrechamente vinculada con la frase semilla utilizada previamente.
Galaxy Research indicó que el 30 de julio, los criminales lograron robar 1.082,65 BTC de 1.196 monederos en unos 40 minutos. Después, ocurrieron más ataques, incluida la última oleada vista por Alex Thorn de Galaxy, que parecía estar dirigida a los tenedores de monederos multi-sig en lugar de a los ataques anteriores, que apuntaban únicamente a usuarios de single-sig.
El popular comentarista de Bitcoin Guy Swann afirmó que el incidente es “el peor golpe en la historia del bitcoin” para los propietarios cautelosos de la divisa virtual.
“No confíes, verifica” llega a su límite
Para Lopp, la brecha también expone los límites de uno de los principios más conocidos de Bitcoin: “No confíes, verifica.”
“Es un buen mantra”, dijo, “pero hay que entender que la verificación de software y hardware complejos simplemente no es factible para el 99,9% de la población.”
Según Lopp, en última instancia, los usuarios depositarán su confianza en un tercero para validar la información. En lugar de renunciar a la posibilidad de usar sus propios monederos, Lopp defiende que los usuarios diversifiquen su confianza utilizando múltiples monederos de hardware y aplicaciones de software.
Zach Herbert, CEO de Foundation, expresó la misma opinión en el podcast y afirmó que es “realmente peligroso” concluir que la autocustodia ha fracasado considerando solo un caso. Por el contrario, sugiere que la industria necesita mejorar sus prácticas de seguridad.
Lorenzo Valente, vinculado a ARK Invest, afirmó que muchos usuarios simplemente han intercambiado el riesgo de su contraparte en el intercambio por “riesgo de software, riesgo de hardware, riesgo de la cadena de suministro, riesgo de phishing, riesgo de copia de seguridad”.
El caso de las auditorías independientes
Este hecho ha vuelto a desatar la demanda de auditorías de firmware por parte de un tercero independiente, en lugar de depender por completo de la auto-revisión del proveedor. Cryptopolitan publicó recientemente un artículo sobre si el código de código abierto ofrece una seguridad adecuada, y el incidente de Coldcard es una prueba adicional de este argumento.
Según Andrew Lazutkin, el Director de Tecnología (CTO) de Tangem, el código accesible públicamente no debe asumirse como seguro. Como explicó, “la seguridad proviene de una arquitectura sólida, pruebas exhaustivas y verificación independiente”.
Lopp comentó que las principales divulgaciones sobre monederos de hardware habían ocurrido “una docena de veces” y creía que todos esos incidentes habían contribuido a mejorar la industria. La siguiente pregunta que necesita respuesta es si Coinkite implementará su prometido informe técnico post-mortem y evaluaciones de seguridad independientes más generalizadas antes de que hackers habilitados con IA descubran la próxima debilidad.
Si estás leyendo esto, ya vas por delante. Mantente ahí con nuestro boletín.