Un fallo en la generación de seeds de Coldcard eleva el riesgo de robo de Bitcoin

Algunos propietarios de Coldcard Mk3 podrían tener que trasladar sus Bitcoin. Coinkite advierte de que los fondos vinculados a seeds generadas con el firmware 4.0.1 o versiones posteriores en Mk3 podrían estar en riesgo. El colaborador de Bitcoin Core instagibbs afirmó que logró recrear una seed vulnerable en un Mk3 recién inicializado. Coinkite indica que los dispositivos Mk4 y Mk5 también se ven afectados si ejecutan versiones anteriores al firmware 5.6.0, y que los modelos Q lo están antes de 1.5.0Q. En estos casos, el impacto sería menos grave, pero la compañía lo califica igualmente de serio. La empresa prevé realizar una revisión técnica formal para determinar la causa raíz. La cartera de hardware protege una clave ya existente mediante almacenamiento seguro, firma fuera de línea y verificación en el propio dispositivo. La generación de la seed ocurre antes de esas defensas y determina si el equipo arranca con material criptográfico robusto. La seguridad de una frase semilla depende de la entropía: la aleatoriedad que elige una combinación entre un espacio inmenso. Si la aleatoriedad es débil, ese espacio se reduce y un atacante puede probar seeds candidatas, derivar direcciones y vigilar depósitos desde otro ordenador. Si la creación es predecible, la separación "air gap" queda comprometida desde el inicio y el robo pasa a ser un problema de búsqueda remota: el atacante monitoriza direcciones asociadas a seeds candidatas y, cuando aparece una coincidencia, puede gastar los fondos. Como todas las direcciones existentes siguen bajo control de la seed original, la mitigación exige generar nuevas claves y transferir los fondos en la cadena. Un firmware actualizado puede endurecer futuras configuraciones, pero no puede cambiar el material criptográfico que controla direcciones antiguas. Capas de seguridad y por qué no resuelven este caso: - Air gap: evita exponer claves por una conexión activa; no sirve si la seed ya era predecible al crearse. - Almacenamiento seguro: aísla una clave privada existente; protege "lo equivocado" si el material original es débil. - Firma fuera de línea: permite aprobar transacciones sin conectar la cartera; solo protege el gasto cuando la seed ya existe. - Verificación en pantalla: confirma direcciones e importes; no demuestra que la entropía de la seed fuese suficiente. - Actualización de firmware: mejora el comportamiento futuro; no sustituye direcciones antiguas controladas por una seed ya generada. - Nueva seed + transferencia: crea material nuevo y mueve fondos lejos de direcciones antiguas; es la única remediación completa ante seeds potencialmente débiles. El perfil de custodia de mayor riesgo aparece cuando un Mk3 afectado generó la seed y una sola firma controla la cartera: sin entropía por dados, sin passphrase BIP39 y sin multisig, el generador de seeds del dispositivo se convierte en la única raíz criptográfica. Coinkite señala que una passphrase BIP39 fuerte y única añade una barrera independiente, mientras que passphrases cortas, comunes, con patrones, entrecomilladas o reutilizadas pueden ser adivinables. Esta passphrase no es el PIN del dispositivo: deriva una cartera distinta a partir del mismo mnemónico, por lo que el atacante tendría que recuperar ambos secretos. Aun así, Coinkite recomienda migrar a una seed recién generada. El uso de multisig puede limitar el daño de una seed débil si el umbral de gasto exige claves independientes. Los dados aportados por el usuario pueden añadir una fuente externa de entropía, y la ruta avanzada de Coinkite especifica al menos 99 tiradas justas mediante su flujo de importación solo con dados. Estas defensas requieren registros meticulosos y pruebas de recuperación: una passphrase perdida puede bloquear al propietario, un multisig mal documentado complica la restauración y unos registros de dados expuestos pueden revelar la seed de reemplazo. Coinkite recomienda verificar la copia de seguridad, la huella (fingerprint) y la dirección de recepción, enviar un pago de prueba pequeño y, después, mover el saldo. El objetivo es evitar que la urgencia provoque un segundo fallo por una dirección mal escrita, una cartera temporal débil o una copia de seguridad incompleta. Configuraciones de custodia y nivel de riesgo: - Seed generada por Mk3, firma única, sin passphrase, sin dados, sin multisig: riesgo máximo; la seed afectada es la única raíz criptográfica. - Seed de Mk3 con passphrase BIP39: riesgo menor solo si la passphrase es fuerte y única; el atacante necesitaría el mnemónico y la passphrase. - Seed de Mk3 con multisig: riesgo menor si los demás firmantes son independientes; una seed débil no basta para gastar si el umbral exige otras claves. - Seed de Mk3 con entropía por dados del usuario: riesgo menor si se añadieron al menos 50 tiradas justas y privadas; menos de 50 tiradas o dudas sobre las tiradas exigen migración. - Nueva seed en un dispositivo no afectado: vía de remediación; los fondos pasan a material criptográfico nuevo. - Migración por pánico a una cartera o dirección no verificada: nuevo riesgo de fallo; la prisa puede causar pérdidas ajenas al defecto original. El almacenamiento en frío adquiere un calendario de mantenimiento. Coinkite publicó el firmware final de Mk3 en junio de 2023, y su aviso de julio de 2026 cubre seeds creadas por dispositivos Mk3 desde marzo de 2021, lo que deja una brecha de tres años entre el fin del soporte del producto y una acción urgente de custodia. Ese desfase convierte el "cold storage" en un problema de mantenimiento heredado: muchos titulares encienden el dispositivo cada varios años, páginas antiguas pierden visibilidad y los avisos del fabricante pueden pasar desapercibidos durante meses. Una seed puede sobrevivir al dispositivo, a la rama de firmware y al canal de soporte original; por eso, los sistemas de custodia necesitan alertas duraderas y procedimientos de migración repetibles. Los fabricantes pueden publicar la arquitectura de entropía, avisos por dispositivo y guías de rotación de claves que sigan accesibles años después de la última venta. La documentación de seguridad de Coinkite menciona código abierto y compilaciones reproducibles como herramientas de inspección. Los revisores pueden comparar el código fuente con los binarios publicados, y los defectos pueden persistir hasta que alguien analice la ruta exacta que generó una seed que llevaba tiempo sin usarse. De ahí que las pruebas independientes de entropía sean una práctica clave en carteras de hardware. Un binario reproducible permite saber qué código se ejecutó, pero la verificación de supuestos de seguridad requiere pruebas específicas. Escenarios a partir de aquí: - Migración de usuarios: escenario alcista, los afectados rotan claves con cuidado tras transacciones de prueba; escenario bajista, usuarios inactivos no ven el aviso y siguen recibiendo fondos en direcciones antiguas. - Revisión de causa raíz: alcista, Coinkite publica una explicación técnica clara; bajista, crece la incertidumbre sobre firmwares antiguos o supuestos del dispositivo. - Adopción de passphrase: alcista, más titulares añaden un segundo secreto; bajista, passphrases perdidas o mal registradas generan fallos de recuperación. - Adopción de multisig: alcista, grandes saldos se alejan de puntos únicos de fallo; bajista, multisig mal documentados elevan el riesgo operativo. - Pruebas de entropía: alcista, fabricantes mejoran pruebas públicas en la generación de seeds; bajista, el mercado sigue asumiendo que las compilaciones reproducibles garantizan la calidad de la aleatoriedad. - Sistemas de alerta: alcista, canales de aviso duraderos para dispositivos antiguos; bajista, las alertas siguen siendo fáciles de pasar por alto a largo plazo. - Narrativa de mercado: alcista, el episodio impulsa mejoras en procesos de custodia; bajista, dominan denuncias no verificadas de robos y transferencias por pánico. En el escenario bajista, carteras Mk3 inactivas continuarían recibiendo depósitos con seeds antiguas y sus dueños se enterarían del aviso por informes de robo o contactos de emergencia. Las transferencias precipitadas pueden añadir pérdidas por direcciones no verificadas, carteras temporales débiles o copias de seguridad extraviadas, y reclamaciones sin soporte podrían atribuir al fallo movimientos en cadena no relacionados. Las carteras de hardware hicieron viable la autocustodia al proteger claves durante el almacenamiento y el gasto. La advertencia sobre Coldcard extiende ese modelo a la fase de configuración, al seguimiento y a la rotación, y convierte cada seed en una obligación de mantenimiento a largo plazo que puede sobrevivir al propio dispositivo que la creó. El artículo "A flaw in Coldcard seed generation lets attackers recreate private keys from the press of a button" se publicó primero en CryptoSlate.