Hack Coldcard: NVK invoca 15 auditorías, Luke Dashjr habla de mentiras

Quince revisiones de seguridad, y ninguna alarma. Tres meses después del robo de aproximadamente 1,800 BTC de billeteras Coldcard, el director de Coinkite reabre el caso en X para defender sus auditorías pasadas y señala a la inteligencia artificial como la única capaz de haber detectado la falla. Varios desarrolladores de Bitcoin le responden que ya habían advertido sobre ello.

Si creaste tu seed en un Coldcard antes del verano, esta disputa no cambia nada para ti. Siempre debes migrar a una nueva frase de recuperación.

Puntos clave:

• El 9 de noviembre, NVK enumeró al menos quince revisiones externas que pasaron por alto el defecto.
• Según él, solo un modelo de IA reciente podría haber descubierto este error que se deslizó en el código en marzo de 2021.
• Luke Dashjr dice haber transmitido en privado a Coinkite nueve observaciones sobre el generador aleatorio.
• Coinkite reconoce que no existe hasta la fecha una auditoría independiente completa de los firmwares corregidos.
• Una actualización del dispositivo no salva una seed antigua.

Coldcard: la defensa de NVK se basa en quince auditorías

El 9 de noviembre, Rodolfo Novak, alias NVK, publicó un largo hilo en X. Allí afirma que al menos 15 trabajos externos de revisión o investigación en seguridad se han centrado en el hardware Coldcard, su firmware, sus herramientas relacionadas con el generador de números aleatorios o sus procedimientos de publicación antes del descubrimiento del defecto. Entre ellos se encuentran dos revisiones pagadas, la del Mk4 en 2022 y la del Q en 2024. El hilo de NVK del 9 de noviembre. Fuente: X

También cita un análisis realizado por el desarrollador Rob Ham con la herramienta de ciberseguridad de OpenAI. El resultado fue 85 problemas potenciales reportados y varias correcciones, pero ninguna pista sobre el defecto en la generación de seeds. << La verdad incómoda es que se necesitó un nuevo modelo de IA para encontrar lo que los humanos no habían encontrado >>, escribe NVK.

El error data de marzo de 2021. Para crear una seed (la secuencia de 12 o 24 palabras que permite reconstruir todas las claves de una billetera), el firmware llamaba al generador de software de MicroPython en lugar del chip de hardware aleatorio previsto. Claves que se suponían indescifrables se volvían adivinables por fuerza bruta. El 30 de julio, un primer barrido vació 1,196 direcciones en 41 minutos.

Falla Coldcard: Luke Dashjr y James O'Beirne dicen haber advertido

La respuesta llegó el mismo día. Desarrollador de Bitcoin Core, Luke Dashjr publicó nueve observaciones sobre el generador aleatorio de Coldcard, que afirma haber comunicado primero en privado a Coinkite. Se centra en la inicialización del generador, la gestión de errores de los chips STM32 y la detección de valores repetidos. Aclara que solo echó un vistazo rápido y no pretende que cada punto sea explotable. Sin embargo, sobre la IA, no se guarda las palabras: presentar estas fallas como encontrables por una IA brillante y por ella sola es, para él, una pura y simple mentira.

James O'Beirne ya había contado a principios de agosto que había comenzado a examinar el firmware en mayo de 2025. Se preguntaba sobre la biblioteca libngu y sobre constantes codificadas en el generador de software de respaldo. Le habrían respondido que la configuración era correcta en los dispositivos físicos. Admite no haber insistido.

El tono se calienta rápidamente. Alex Waltz acusa a Coinkite de haber desalentado la revisión de su código, mientras que Shinobi defiende a NVK recordando que revisores habían inspeccionado el sistema de entropía sin ver nada. Y NVK, por su parte, repite que un mensaje privado expresando preocupación no equivale a una divulgación de una falla reproducible.

Billetera Coldcard: un postmortem aún en preparación

Ambos bandos tropiezan con el mismo punto ciego. Desde el 3 de agosto, Nick Percoco, responsable de seguridad de Kraken, explicaba que los auditores verificaban la presencia del generador correcto en el código, sin controlar que el firmware de producción lo llamara. A finales de agosto, Trezor añadía que una auditoría pagada de marzo de 2022, que cubría precisamente la generación aleatoria, había pasado por alto el defecto.

Por parte de Coinkite, la página de estado de seguridad actualizada el 1 de octubre enumera cuatro verificaciones independientes centradas en los firmwares corregidos. Precisa que no existe ninguna auditoría independiente completa de cada binario. ¿El postmortem técnico detallado, esperado desde el verano? Aún << en preparación >>. Estado de seguridad Coldcard, actualizado el 1 de octubre. Fuente: Coinkite

Para ti, la consigna no ha cambiado ni un ápice. Las versiones recomendadas son la 5.6.3 para los Mk4 y Mk5 y la 1.5.3Q para el Q, pero una actualización no migra una seed. La única excepción reconocida es que una seed creada con al menos 50 lanzamientos de dados justos y nunca expuestos aporta aproximadamente 128 bits de entropía. Para todas las demás, nueva frase de recuperación en un dispositivo actualizado, y luego transferencia de fondos.

Una pequeña parte del botín ya ha cambiado de manos en la dirección correcta. El 21 de septiembre, algunos whitehats agruparon 52.37 BTC relacionados con el hackeo de Coldcard en un fideicomiso de Wyoming encargado de devolverlos a las víctimas, lo que representa apenas el 3% de los aproximadamente 1,800 BTC robados.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.