Guardar bitcoins de forma segura presenta desafíos que no se encuentran en el dinero tradicional. No existe un banco al que acudir si hay problemas en una transacción y tampoco hay depósitos asegurados por una entidad gubernamental. La propiedad del dinero está determinada por quien posea la clave secreta que la controla. Por esta razón, muchos inversores optan por utilizar dispositivos conocidos como «carteras frías», que son similares a calculadoras o memorias USB. Estos dispositivos generan y almacenan las claves sin conexión a Internet, lo que, en teoría, debería prevenir robos.
Sin embargo, esta teoría ha sido desmentida de manera impactante. Desde el 30 de julio, un atacante ha comenzado a vaciar las cuentas de miles de usuarios de Coldcard, uno de los dispositivos más respetados entre los inversores de Bitcoin. Según Galaxy Research, el monto robado supera los 100 millones de euros en varias oleadas de ataques. La amenaza aún permanece activa.
FALLO EN LA SEGURIDAD
Lo más alarmante es la forma en que se llevó a cabo el robo. Los delincuentes no han robado ningún dispositivo, ni han engañado a los usuarios con correos falsos o infiltrándose en servidores. Las carteras de los afectados podían estar apagadas y guardadas en una caja fuerte, y el resultado habría sido el mismo.
Para comprender el problema, es necesario entender la función de estas carteras. El dispositivo genera una contraseña maestra, conocida como semilla, que se asocia a los fondos en la blockchain. Esta semilla debe provenir de un generador de números aleatorios con tantas combinaciones que sería imposible de adivinar incluso con el poder computacional de todos los ordenadores del mundo durante siglos. La seguridad de Bitcoin se basa en este principio: ninguna persona puede acertar la clave privada de cada moneda.
No obstante, las Coldcard han estado generando de forma incorrecta esa semilla durante cinco años. Una actualización de su software, lanzada en marzo de 2021, desactivó por error el componente del chip encargado de generar números aleatorios. En su lugar, el dispositivo utilizó un método mucho más predecible, basado en datos como el número de serie del chip o la hora interna del reloj. Como resultado, la semilla parecía aleatoria pero era posible de adivinar con recursos computacionales modestos en pocos minutos.
REACCIONES Y CONSECUENCIAS
El atacante que descubrió esta vulnerabilidad generó millones de claves candidatas, comprobó cuáles tenían fondos asociados y transfirió el dinero. En los primeros 10 minutos, logró robar más de 30 millones de dólares. La cartera más grande vaciada en este tiempo contenía 51 bitcoins, equivalentes a más de tres millones de dólares.
El fallo fue detectado por el equipo de seguridad de Block, y tras su divulgación, Coinkite, la empresa canadiense creadora de Coldcard, lanzó una actualización de emergencia el 31 de julio. Sin embargo, actualizar el dispositivo no soluciona el problema, ya que las claves creadas en los últimos cinco años seguirán siendo vulnerables. La única alternativa es crear una nueva cartera desde cero y transferir los bitcoins, algo que Coinkite recomienda hacer de inmediato. Inicialmente, la compañía mencionó un error que solo afectaba a ciertos modelos, pero finalmente aceptó que todos los dispositivos Coldcard son susceptibles.
Este incidente ha afectado profundamente a la comunidad de Bitcoin. Su lema principal ha sido «si no son tus claves, no son tus monedas», una filosofía que promueve la custodia personal del dinero sin depender de terceros. Coldcard representaba este principio, y ahora sus usuarios más cuidadosos son los que han sufrido las consecuencias.
En un comunicado, Coinkite reconoció que los últimos días han sido extremadamente difíciles para la empresa y para muchos de sus usuarios. El dinero que les costó años ahorrar ha desaparecido, y la confianza que se construyó a lo largo del tiempo está dañada.
Cerca del 90% de los bitcoins robados no se ha movido de las direcciones del atacante. Estos fondos están bajo vigilancia, y sus datos ya están en manos de las autoridades y diversas plataformas de intercambio. Sin embargo, recuperar el dinero será complicado debido a la naturaleza de las criptomonedas y los servicios que permiten mezclar monedas para ocultar su trazabilidad.
