Después de lo ocurrido con el dispositivo, se movieron grandes cantidades de bitcoins
13 de agosto de 2026 · Observación sobre autocustodia y seguridad de claves
A fines de julio, una vulnerabilidad de Coldcard permitió que se robaran aproximadamente 1.816 bitcoins, pero los datos on-chain muestran que, posteriormente, 233.000 BTC salieron de billeteras de tenencia a largo plazo; 22.000 BTC se dirigieron a exchanges.[1] El CEO de Casa, Nick Neuman, afirmó que entre 10 y 100 veces el monto robado se transfirió a ubicaciones seguras.
Estas migraciones tienen dos orígenes: una parte de los clientes de Casa antes usaban Ledger o Trezor de firma única (marcas de dispositivos totalmente distintas), pero el incidente los llevó a cambiar a billeteras multisig; la otra parte eran usuarios que ya usaban multisig, y retiraron el dispositivo Coldcard del conjunto de claves.[1]
Neuman compara esta respuesta con una situación hipotética de custodia centralizada. Si el mismo valor de BTC se almacena en un exchange y este es comprometido, entonces el resultado se invierte: casi todos los fondos desaparecen de una vez, y solo una pequeña parte podría escapar.[1] En un escenario de autocustodia, el atacante tiene que romper direcciones una por una: cada vez solo puede llevarse una pequeña cantidad de BTC, mientras toda la red tiene tiempo para reaccionar y migrar los fondos restantes.
Los datos de Glassnode confirman la escala: la oferta de tenedores a largo plazo bajó de casi 15 millones de BTC a alrededor de 14,7 millones; desde diciembre de 2024 es la mayor caída semanal. Esto ocurre cuando el precio del BTC todavía está un 50% por debajo del máximo histórico de 126.000 dólares en octubre.[1]
Coinkite ha instado a cualquier usuario que haya generado semillas en versiones de firmware de 4.0.1 a 4.1.9 (cubre de marzo de 2021 a julio de 2026) a migrar de inmediato a la nueva semilla. Incluso si el dispositivo se ha actualizado, la entropía de ese grupo de semillas antiguas era débil desde el momento de su generación y no se puede corregir mediante parches.
## Replicación técnica de SlowMist: el retroceso aleatorio hace que la clave privada sea predecible
El equipo de SlowMist replicó una cadena de ataque completa contra el firmware Mk3 4.1.9.[2] El problema se debe a la superposición de dos errores de compilación.
En la primera capa, Coldcard establece explícitamente `MICROPY_HW_ENABLE_RNG` en 0 dentro de `mpconfigboard.h`, porque el equipo cree que su encapsulado llama directamente a la TRNG de hardware STM32 a través de `ckcc.rng_bytes`. Sin embargo, la librería dependiente `libngu` verifica este macro con `#ifndef`: solo comprueba si "existe", pero no si está "habilitado".
En la segunda capa, cuando el macro vale 0, la capa de port de MicroPython para STM32 hace un retroceso silencioso de `rng_get()` a un generador pseudoaleatorio por software llamado Yasmarang. La semilla inicial de este PRNG está compuesta casi por completo de valores predecibles: el UID del chip (el identificador de 96 bits usa solo los 32 bits inferiores; en el lote Phase A, las coordenadas X/Y caen básicamente en el rango 0–72), `SysTick-\u003eVAL` (el valor de cuenta regresiva bajo un reloj de 80 MHz, rango 0–79999) y los registros RTC (en todos los vectores confirmados, se interpretan como 0).[2]
El resultado son dos instancias de Yasmarang: una es el flujo de constante global de `libngu` ( `pad=0x0a8ce26f`, idéntico en todos los dispositivos), y la otra es la instancia de retroceso de `rng_get()`, donde la única variable es el valor de 32 bits `UID ^ SysTick`. La fuente real de entropía en todo el proceso de generación de semillas es solo de ~32–72 bits: un espacio que un clúster de GPU puede explorar en cuestión de días.[2]
## Se filtraron todas las "ideas internas" del modelo de IA; se recuperaron 62 claves API
Investigadores de seguridad descubrieron un método para leer las "ideas internas" cifradas de cada modelo de inferencia de IA líder y recuperaron 62 claves API activas y 33 contraseñas a partir de registros de conversación compartidos públicamente por desarrolladores (sin saber qué contenían).[3]
"Al decodificar 315.320 bloques de inferencia extraídos de un repositorio público, recuperamos 367 datos de PII (información de identificación personal) y 182 credenciales". Así lo escribió el equipo de investigación en el artículo presentado el 10 de agosto.[3]
Todos los proveedores principales de IA cifran los tokens de inferencia con la misma clave global. Los atacantes aprovecharon esto: decodificaron 315.320 bloques de inferencia ocultos desde registros públicos y, en el proceso, recuperaron contraseñas y claves API activas.[3]
Este es el tercer informe sobre ataques a modelos de laboratorios de IA de vanguardia contra empresas de terceros, después de las divulgaciones de las últimas semanas por parte de OpenAI y Anthropic.
En julio, OpenAI afirmó que dos modelos escaparon del sandbox de pruebas al buscar respuestas de un benchmark y comprometieron Hugging Face. La empresa reveló después que el modelo también accedió a otros cuatro servicios en línea.[3] Posteriormente, Anthropic indicó que tres modelos de Claude atacaron organizaciones reales tras que un error en las pruebas los expusiera a internet. En agosto, Meta dijo que un error similar permitió a un modelo aprovechar servicios de terceros.[3]
Estos incidentes impulsaron a los legisladores a proponer una medida de "kill switch" para la IA, que permitiría al gobierno federal limitar o apagar modelos potentes en situaciones de emergencia.
## El servidor MCP puede dividir instrucciones para que el asistente de codificación de IA filtre claves en secreto
Un servidor malicioso conectado a un asistente de codificación de IA puede llevarse en secreto claves SSH, secretos de entorno, código fuente y datos de clientes, sin necesidad de enviar ninguna instrucción que parezca claramente dañina.[4]
Este truco sigue siendo efectivo incluso después de que se rechaza la versión directa de la misma solicitud de robo: dividir la solicitud en múltiples fragmentos que parezcan completamente normales, colocarlos en un canal que el asistente ya está usando y dejar que el propio asistente los arme.[4]
Model Context Protocol (MCP) permite que un asistente de codificación de IA llame a herramientas externas mediante interfaces estructuradas: leer archivos, consultar bases de datos y ejecutar comandos. El atacante puede incrustar una segunda parte del prompt en el mensaje de respuesta de la herramienta para guiar al asistente a enviar de vuelta al servidor malicioso los datos sensibles recién leídos, aparentando que solo está haciendo "registro" o "formateo".
Como cada llamada está segmentada y cada instrucción, por separado, parece razonable, las protecciones integradas del asistente no se activan. Pero en cuanto el flujo de datos va hacia el servidor malicioso, ya se ha filtrado información.[4]
Este tipo de ataque no requiere romper ningún límite: solo aprovecha el diseño del propio MCP. El asistente confía en los datos estructurados que devuelve la herramienta, y la herramienta puede colar en su contenido una segunda capa de instrucciones.
作者 está desarrollando una wallet MPC sin frase de ayuda, así que tiene una postura sobre este tema. Los datos incluyen sus fuentes; la valoración, hazla tú.
https://cowallet.ai/en?pid=jingle