Coldcard exige ahora entropía aportada por el usuario tras un robo de bitcoin de más de 100 millones vinculado a un fallo en la semilla

Coinkite ha lanzado la versión 5.6.1 del firmware para su monedero físico Coldcard. A partir de esta actualización, el dispositivo solicita que el propietario aporte entropía (aleatoriedad) en cada nueva semilla que se genere. Hasta ahora, el proceso dependía principalmente del generador interno de números aleatorios del propio monedero. El cambio llega después de informaciones sobre una vulnerabilidad relacionada con la generación de semillas, asociada a un robo relevante de bitcoin. CryptoPotato situó las pérdidas en torno a los 100 millones de dólares, mientras que The Cryptonomist EN elevó la cifra a 112 millones. Ambas cantidades se refieren al mismo episodio, aunque el importe exacto no está unificado entre las distintas publicaciones. La generación de la semilla es el pilar de la autocustodia. La frase semilla, normalmente de 12 o 24 palabras, codifica las claves privadas que controlan los fondos. Si la aleatoriedad utilizada para crear esa semilla fuera predecible, débil o se viera comprometida, un atacante podría, en teoría, reconstruir las claves y vaciar el monedero. Ese es el riesgo que centra la atención en la vulnerabilidad investigada. Exigir entropía aportada por el usuario es una medida de mitigación recomendada desde hace años por investigadores de seguridad. Suele implicar técnicas como tiradas de dados, imágenes capturadas con una cámara u otras fuentes manuales de aleatoriedad. Ese aporte se combina con la aleatoriedad interna del dispositivo, no la sustituye. El objetivo es reducir la dependencia de una única fuente, incluida la posibilidad de que el generador interno quede afectado por un error de firmware o por un problema en la cadena de suministro. Los monederos hardware se comercializan como una alternativa más segura a dejar los activos en un exchange, ya que las claves privadas no salen del dispositivo. Esa promesa depende en gran medida de la integridad del proceso de generación de aleatoriedad durante la configuración inicial. Un fallo en ese punto erosiona la premisa de seguridad del almacenamiento en frío, por muy robusta que sea la protección posterior de las claves. El caso se suma a un patrón recurrente en la seguridad cripto. Las pérdidas por hackeos a exchanges o fallos en contratos inteligentes son más habituales en los titulares. Las vulnerabilidades dentro de monederos físicos o en procesos de generación de claves se reportan con menos frecuencia, pero pueden resultar más dañinas, ya que pueden exponer fondos de forma silenciosa mientras los usuarios creen estar totalmente protegidos. Quienes hayan generado semillas en versiones de firmware potencialmente afectadas podrían necesitar revisar las directrices de Coinkite para determinar si procede migrar a una semilla recién creada. En la cobertura disponible no se recogen citas directas de Coinkite sobre la causa técnica específica. Aun así, el ajuste en el firmware sugiere que la compañía consideró insuficiente el esquema de entropía anterior por sí solo. La exigencia de aporte del usuario se presenta como una respuesta directa al exploit reportado. Impacto de mercado El efecto inmediato previsiblemente se concentra en los usuarios de Coldcard y, por extensión, en el segmento de monederos hardware del mercado de autocustodia. El renovado escrutinio sobre las prácticas de generación de semillas podría empujar a otros fabricantes a revisar o reforzar sus propias implementaciones de entropía. Para el mercado cripto en general, el episodio reaviva el debate sobre el riesgo de custodia: tanto inversores institucionales como minoristas que comparan autocustodia frente a activos mantenidos en exchanges pueden incorporar este incidente a su evaluación. En las informaciones disponibles no se vinculan datos de precios o negociación a este evento, por lo que no se puede confirmar una reacción más amplia. En síntesis, la actualización del firmware responde a una vulnerabilidad reportada en la generación de semillas, con discrepancias entre medios sobre el volumen de pérdidas. Se recomienda a los usuarios de Coldcard actualizar el dispositivo y consultar la guía oficial de Coinkite sobre el manejo de semillas a partir de ahora. Preguntas frecuentes ¿Qué es Coldcard? Coldcard es un monedero hardware fabricado por Coinkite, diseñado para almacenar sin conexión las claves privadas de bitcoin en un esquema de autocustodia. ¿Qué significa "entropía del usuario" en este contexto? Se refiere a la aleatoriedad que aporta manualmente una persona (por ejemplo, tiradas de dados o entrada de cámara) y que se combina con la aleatoriedad interna del dispositivo al generar una nueva semilla. ¿Cuánto bitcoin se habría robado en el incidente relacionado con esta actualización? Las cifras varían: CryptoPotato cita aproximadamente 100 millones de dólares en pérdidas y The Cryptonomist EN, 112 millones. ¿Deben actuar los usuarios actuales de Coldcard? Quienes generaran semillas antes de esta actualización pueden revisar la guía oficial de Coinkite para valorar si se recomienda regenerar la semilla. Informado originalmente por AltcoinGordon; texto de Grace Mitchell. Republicado con permiso. Ver el original en AltcoinGordon →