Acabo de ver un caso real y me dio un escalofrío en la espalda.
Alguien puso BTC en una billetera fría ColdCard: el dispositivo de frases mnemónicas nunca se conectó a internet, y lo guardaron incluso en una caja fuerte del banco—según el sentido común, esto ya es un esquema de autogestión de nivel “de manual”. Pero el 29 de julio por la noche, 18,0000 BTC, aproximadamente 1.6 millones de dólares canadienses, se vaciaron en siete minutos.
Lo más doloroso es esto: no filtró la frase mnemónica, el equipo nunca se tocó en red, y aun así hizo todo “bien”. El problema estuvo en el código de la generación del seed de la billetera de hardware; el fallo se sembró en 2021. El atacante usó fuerza bruta asistida por IA para adivinar la frase mnemónica; el almacenamiento offline no pudo impedir “defectos de fábrica”.
No dejo de darle vueltas a este asunto. En las criptomonedas, “ya fui muy cuidadoso” a veces no es suficiente: el riesgo no solo viene del phishing y la ingeniería social, sino también de esa línea de código que no puedes ver dentro de la cadena de suministro. La IA convierte un ataque antes de baja probabilidad en un escaneo escalable.
No le digo a nadie si hay que comprar o vender. Solo siento que esta lección es más dura que un eslogan: los activos se pueden reconstruir, pero el límite de seguridad de la autogestión puede ser más frágil de lo que la mayoría imagina. (´▽`ʃ♡ƪ)
Alguien puso BTC en una billetera fría ColdCard: el dispositivo de frases mnemónicas nunca se conectó a internet, y lo guardaron incluso en una caja fuerte del banco—según el sentido común, esto ya es un esquema de autogestión de nivel “de manual”. Pero el 29 de julio por la noche, 18,0000 BTC, aproximadamente 1.6 millones de dólares canadienses, se vaciaron en siete minutos.
Lo más doloroso es esto: no filtró la frase mnemónica, el equipo nunca se tocó en red, y aun así hizo todo “bien”. El problema estuvo en el código de la generación del seed de la billetera de hardware; el fallo se sembró en 2021. El atacante usó fuerza bruta asistida por IA para adivinar la frase mnemónica; el almacenamiento offline no pudo impedir “defectos de fábrica”.
No dejo de darle vueltas a este asunto. En las criptomonedas, “ya fui muy cuidadoso” a veces no es suficiente: el riesgo no solo viene del phishing y la ingeniería social, sino también de esa línea de código que no puedes ver dentro de la cadena de suministro. La IA convierte un ataque antes de baja probabilidad en un escaneo escalable.
No le digo a nadie si hay que comprar o vender. Solo siento que esta lección es más dura que un eslogan: los activos se pueden reconstruir, pero el límite de seguridad de la autogestión puede ser más frágil de lo que la mayoría imagina. (´▽`ʃ♡ƪ)
