Un ataque vacía 70 millones de dólares en bitcoin de carteras frías sin acceder a los dispositivos

Un ataque ha drenado más de 1.000 bitcoin, valorados en torno a 70 millones de dólares, de 1.196 carteras en una ventana de 41 minutos el 30 de julio, casi el doble de lo estimado cuando el caso salió a la luz. Galaxy Research reconstruyó el episodio y concluyó el viernes que se barrieron 1.082,65 BTC entre las 01:10 y las 01:51 UTC, repartidos en seis bloques. Entre medias aparecieron tres bloques vacíos, un patrón que apunta a transacciones emitidas por tandas y no de forma continua. Los fondos permanecen concentrados en cuatro direcciones y no se han movido. Los primeros recuentos solo identificaron una de esas direcciones, de ahí la revisión al alza. Aunque el importe queda lejos de algunos de los grandes robos del año, lo relevante es el método. En la mayoría de sustracciones cripto hay un punto de contacto: un exchange comprometido, un contrato engañado o una clave obtenida mediante phishing. La propuesta de valor de una cartera de hardware es justo lo contrario: mantener la clave en un dispositivo que no se conecta a internet. En este caso, el atacante no necesitó tocar el dispositivo. La investigación detalla un fallo en la generación de semillas (seed). Al crear una cartera, el dispositivo debe producir un número enorme e impredecible del que se derivan, mediante reglas públicas, todas las direcciones y claves privadas. El firmware de Coldcard debía obtener ese número de un generador de aleatoriedad por hardware. Una configuración interna indicaba que se saltara ese generador, y una comprobación en una librería de apoyo verificaba solo la existencia del ajuste, no si estaba activado. Como resultado, la generación de claves caía en un sustituto por software alimentado por el número de serie del chip y por registros del reloj. El número de serie es un dato fijo de fábrica y los valores del reloj son un estado temporal que un atacante puede acotar o medir en un dispositivo propio. La consecuencia fue que el espacio de claves posibles se redujo de un rango prácticamente infinito a uno enumerables. Los equipos de seguridad observaron que en los modelos antiguos Mk2 y Mk3 (distintas versiones de Coldcard) la generación de claves podía determinarse; en Mk4, Q y Mk5 estimaron el rango en unos 4.000 millones de posibilidades. Para una persona es mucho, para un ordenador es asumible. El procedimiento es puramente fuera de la víctima: el atacante genera semillas candidatas en su propio hardware, deriva las direcciones correspondientes y las contrasta con la blockchain pública, que cualquiera puede descargar. El dispositivo del usuario no interviene en ningún momento: podría estar apagado en una caja fuerte a miles de kilómetros. El desglose de Galaxy encaja con esa enumeración sistemática. De las carteras drenadas, 1.183 usaban el formato nativo segwit moderno, siete un estándar más antiguo y seis uno aún anterior. Atacar a una víctima concreta a través de tres formatos a la vez no es habitual; sí lo es probar cada semilla candidata contra todas las rutas posibles de derivación. El operador puede ampliar o refinar la búsqueda y volver cuando quiera. Galaxy advirtió de nuevas oleadas si los propietarios no mueven sus fondos. Tampoco existe una forma clara de que un usuario confirme si está expuesto: no hay una prueba en la propia cartera que revele si su seed cae dentro del rango reproducible. Coinkite, fabricante de Coldcard, ha alertado a los propietarios de Mk3 y sostiene que sus dispositivos más recientes no están afectados, mientras que el informe de Block incluye también Mk2, Mk4, Q y Mk5. Hasta que se aclare el alcance, cualquiera que haya generado una seed con el firmware afectado debe asumir el peor escenario, sin poder verificarlo. El atacante, eso sí, habría cometido un error operativo. Clay Garrett, de Block, afirmó en X que el operador utilizó una cuenta de pago en un "proveedor de datos blockchain muy conocido" para consultar las direcciones de origen durante las barridas, y que los registros internos del proveedor encajaron con el flujo de trabajo sospechoso con una precisión inusual, incluso en número, timing y secuencia de las consultas. Según Block, el proveedor estaba prestando servicios ordinarios sin señales del propósito de las peticiones. La información ya se ha trasladado a las autoridades. El episodio reabre un supuesto básico del almacenamiento en frío: promete que una clave es inabordable por ser imposible de adivinar. Muchos lo interpretaron como una promesa de inaccesibilidad. Encontrar y explotar fallos que reducen la imprevisibilidad resulta cada vez más barato. Anthropic publicó el martes un trabajo en el que uno de sus modelos redujo a la mitad la seguridad de un algoritmo poscuántico candidato en 60 horas, pese a que el diseño había resistido dos años de revisión experta. Guardar una clave de forma aislada empieza a ser la parte fácil del problema.