Cómo un error en el código de Coldcard pasó desapercibido durante años, lo que llevó a un robo de 100 millones de dólares

Jonathan Goodman siguió las reglas para mantener su bitcoin seguro.

El monedero de hardware que guarda sus claves, un Coldcard, nunca había estado conectado a internet. Lo mantenía guardado en una caja de seguridad bancaria. La frase semilla, que nunca había compartido con nadie, estaba almacenada en una segunda caja de seguridad bancaria. Pero el 29 de julio, dijo Goodman, todas las carteras que tenía fueron vaciadas, robando hasta el último satoshi. El empresario de Toronto reportó la pérdida de 18.25 bitcoins, cuyo valor superaba los 1.17 millones de dólares en el momento del ataque.

“Quizás la parte más difícil de esto es que hice todo bien,” escribió en un 1 de agosto Publicación en X.

La pérdida de Goodman fue parte de un hackeo mucho más grande que afectó a miles de usuarios de Coldcard. Galaxy Research dijo tenía una alta confianza de que 1,596 bitcoins — valorados en más de 100 millones de dólares — habían sido robados de aproximadamente 7,300 direcciones en una serie de ataques. El jefe de investigación de Galaxy, Alex Thorn estimado el 4 de agosto que al menos 15 atacantes diferentes estaban explotando la vulnerabilidad. Ninguno de ellos necesitaba acceso físico a un dispositivo.

La premisa de seguridad de una cartera de hardware es que sus secretos nunca abandonan el chip. Sin conexión a internet, no hay manera de acceder excepto mediante acceso físico al dispositivo. Aunque la fisicalidad de una cartera de hardware conlleva sus propios riesgos para los usuarios — tan banal como extraviar el dispositivo y tan aterrador como un ataque de llave inglesa — su principal argumento de venta es que están protegidas contra hackers y otros espectros en línea.

Pero, en el caso de Coldcard, esta promesa de seguridad no se cumplió. La vulnerabilidad no estaba en la cartera en sí, sino en la forma en que se generaba la contraseña secreta, o frase semilla, que protegía las monedas de los usuarios.

Coinkite describió la versión de firmware 4.0.0 como ""Todo Código Nuevo, Las Mismas Grandes Funciones." La versión sustituyó su código por nuevos equivalentes, agregó compilaciones reproducibles y agradeció a una cuenta llamada “switck” por la “nueva biblioteca de código fuente."

El desarrollador de Bitcoin James O’Beirne identificó el “cuenta switck” como perteneciente al cofundador de Coinkite, Peter Gray, después de encontrando 58 cambios de código publicado bajo ese nombre con la misma firma criptográfica que Gray utilizó en los cambios publicados bajo su propio nombre.

Tales firmas funcionan como autógrafos digitales resistentes a manipulaciones, demostrando que la misma clave secreta de firma aprobó ambos conjuntos de trabajo. Coinkite no ha respondido a la afirmación sobre la identidad.

Switck desarrollado libngu, una colección de código reutilizable incorporado en el firmware de Coldcard instalado en los dispositivos de los clientes. Una de sus funciones era ayudar a producir la aleatoriedad utilizada al crear billeteras.

O’Beirne dijo él cuestionó ese proceso mientras auditaba el código de Coldcard en mayo de 2025. Después de rastrear la fuente de la aleatoriedad de la cartera a libngu, planteó la posibilidad de un defecto en Coinkite.

La empresa respondió que probablemente ya se habría descubierto un problema verdadero, según O’Beirne. “Este es el mismo individuo que desestimó mi informe sobre la posibilidad del defecto en mayo de 2025,” él escribió más tarde de Peter Gray.

La aleatoriedad es crítica porque una nueva cartera debe seleccionar una semilla de un número enorme de valores posibles. La imprevisibilidad de esa selección se mide en bits de “entropía,” término que se utiliza para referirse a la falta de predictibilidad. Cada bit adicional duplica el número de posibilidades, haciendo que una semilla sea más difícil de adivinar.

Se suponía que Coldcard debía obtener esa aleatoriedad de un generador de hardware dedicado dentro del dispositivo. En cambio, un error de configuración dirigió la cartera a un generador de software más simple que utilizaba información, incluidos datos del dispositivo y del tiempo.

Esa información no es completamente aleatoria, por lo que podría ser acotada o reproducida, reduciendo drásticamente el número de semillas que un atacante necesitaría probar.

En términos sencillos, el código de Coldcard debía seleccionar el secreto de cada cartera de un conjunto de posibilidades tan vasto que ningún ordenador podría probarlas todas. Sin embargo, un error de cableado lo dirigió a una fuente más pequeña y débil que redujo lo suficiente el conjunto para que un atacante pudiera examinarlo completamente.

Dónde surgieron los problemas

El error se debió a la forma en que dos piezas de software se comunicaron para leer una configuración, según El equipo de ingeniería y seguridad de Bitcoin de Block.

La configuración estaba destinada a desactivar una fuente de números aleatorios después de que Coldcard añadiera otra. Libngu solo verificaba si la configuración existía, no si estaba activada o desactivada. Por lo tanto, el firmware se construyó normalmente utilizando el generador incorrecto.

Block indicó que los dispositivos Mk2 y Mk3 afectados no recibieron aleatoriedad segura a través de ese proceso. Los dispositivos Mk4, Q y Mk5 recibieron algo, pero el software retuvo solo una pequeña parte.

Coinkite estima que esos dispositivos más nuevos producían semillas con 72 bits de aleatoriedad en lugar de los 128 previstos. Eso dejó aproximadamente 72 cuatrillones de veces menos semillas posibles.

Block rastreó el código vulnerable hasta la versión de firmware 4.0.0, lanzado el 17 de marzo de 2021. Coinkite identifica la versión 4.0.1 como la primera edición afectada para los usuarios Mk2 y Mk3.

El el código fuente estaba disponible públicamente, y el generador de hardware correcto estaba presente en el firmware finalizado. Los revisores confirmaron que el componente existía, pero no siguieron el proceso de generación de semillas de principio a fin para determinar cuál generador utilizaba realmente el dispositivo.

La empresa dijo Las revisiones asistidas por IA que se realizaron antes del robo también pasaron por alto el error. Las pruebas utilizando varios modelos de IA líderes después del incidente tampoco lograron identificarlo.

Coinkite ha prometido publicar un informe más detallado sobre la falla. Ha declarado que está apoyando directamente a los clientes afectados.

La empresa no respondió a la solicitud de comentarios de CoinDesk.

Coinkite ha lanzado un firmware corregido para todos los modelos afectados de Coldcard y sus respectivas versiones. La actualización corrige la generación futura de semillas, pero no fortalece las semillas ya creadas con el software vulnerable.

Los usuarios afectados deben instalar el firmware corregido, generar una nueva semilla y mover su bitcoin a direcciones derivadas de la misma, según Asesoría de Coinkite.

Un tipo diferente de riesgo de contraparte

Coldcard se creó con la idea de que los bitcoiners podrían eliminar a los custodios y reducir la cantidad de partes en las que debían confiar. El incidente no restaura la confianza en un intercambio o banco como contraparte. Muestra que la auto-custodia sustituye una dependencia diferente: los usuarios poseen las claves, pero el fabricante de la billetera sigue determinando si esas claves fueron generadas de manera segura.

La clave del millón de dólares en bitcoin de Jonathan Goodman estaba guardada en una caja de seguridad, dentro de un dispositivo que nunca se conectó a internet. Sin embargo, debido a una falla en el software de generación de semillas de Coldcard, el esfuerzo de Goodman por proteger físicamente su fortuna no tuvo ningún efecto.