Dicho de forma simple, sería como pedirle a un tercero la copia de un cheque para reimprimirlo y firmarla sin revisar el nombre del beneficiario. Si el servidor cambiara la dirección del destinatario por la suya, la wallet firmaría igual y el pago terminaría en manos del atacante.
Quién podría aprovecharla, según el informe
El investigador identifica dos perfiles de atacante. El primero sería quien opere el servidor que usa la app. Puede ser el nodo por defecto de Cake Wallet, uno de terceros o uno personalizado que haya elegido el usuario.
El segundo sería un intermediario en la red, por ejemplo en un wifi público. El autor afirma que esto es posible porque la app aceptaría cualquier certificado de seguridad, es decir, no verificaría que el servidor sea quien dice ser. Según el mismo informe, el modo Tor integrado de Cake sí hace esa verificación, por lo que esa vía quedaría cerrada.
El investigador añade que el usuario no tendría cómo notarlo. Si el servidor responde con honestidad la primera consulta y altera las siguientes, la pantalla de confirmación mostraría lo mismo que una aceleración legítima.
Lo que falta por confirmar
El informe incluye una prueba de concepto que, según el autor, se ejecutó en una red de pruebas local de Bitcoin. En ese entorno, asegura, el reemplazo falsificado fue aceptado y confirmado, con el pago enviado a la dirección del atacante.
Sin embargo, el propio autor aclara que no la ejecutó contra la app instalada en un dispositivo. Tampoco hay registros de robos, aunque su publicación en X habla directamente de “robo vía RBF”. Por ahora, la falla no ha sido verificada por terceros ni reconocida por Cake Wallet.
El autor también declaró que usó herramientas de inteligencia artificial para investigar el fallo, armar la prueba y redactar el informe. Ese dato hace aún más relevante una revisión independiente del reporte antes de darlo por válido.
El caso tiene un contraste. Ante un robo reciente que afectó a otra wallet, Cake aseguró en su foro oficial que lleva años auditando ese tipo de código. También dijo que intensificó esas revisiones con modelos de IA.
Otro matiz es el plazo. El investigador publicó el reporte cinco días después de enviarlo y acusó al equipo de estar más ocupado con el marketing. Ese margen es mucho más corto que los 90 días habituales en la divulgación responsable de vulnerabilidades.
Precauciones mientras tanto
El informe propone que la app verifique que la transacción recibida corresponda a la que pidió y muestre en pantalla lo que realmente va a firmar. Mientras Cake Wallet no se pronuncie, los usuarios que quieran ser precavidos pueden:
- Evitar la opción de acelerar la comisión (Bump fee) en envíos pendientes.
- Activar el modo Tor de la aplicación.
- Conectarse a un servidor Electrum propio o de confianza.
Más allá de cómo termine el caso, el reporte recuerda que una wallet ligera depende de servidores ajenos para ver la red, y que cada dato que no verifica es un dato en el que confía. Si la falla se confirma, la debilidad no estaría en la criptografía, sino en esa confianza.
criptonoticias.com
