Un hackeo a Coldcard destapa un fallo de firmware de hace cinco años: robo de bitcoin por más de 100 millones de dólares

Cory Klippsten estaba en una boda en París cuando empezaron a llegar los avisos. "Fue un fin de semana brutal para muchos que perdieron bitcoin", contó en una entrevista el consejero delegado de Swan. "A las 4 de la mañana estaba enviando mensajes para ayudar a alguien en horario del Pacífico a poner sus monedas a salvo". Ocurrió el jueves pasado, cuando atacantes comenzaron a vaciar bitcoin de miles de monederos físicos Coldcard aprovechando un fallo de firmware que había pasado inadvertido durante cinco años. El problema se originó en una actualización de marzo de 2021: un defecto en el firmware del monedero fabricado por Coinkite dejó a algunos usuarios con claves privadas menos seguras de lo debido. Tras tres oleadas de ataques, casi 1.600 BTC, valorados en más de 100 millones de dólares, fueron extraídos de unas 7.300 direcciones, según Galaxy Research. Swan, plataforma con sede en EE. UU. que ayuda a particulares a comprar, mantener y autocustodiar bitcoin, suspendió las retiradas para clientes con riesgo, envió alertas dentro de la app y amplió el soporte de migración más allá de su propia base de usuarios. "Nuestro equipo lo dejó todo para empezar a llamar a clientes, y luego lo abrimos a cualquiera que necesitara ayuda, hubiera sido cliente de Swan o no", explicó Klippsten. Una semana después, cerca del 90% de las monedas robadas sigue sin moverse en la cadena. Las direcciones confirmadas de los atacantes se han compartido con las autoridades federales de EE. UU., y Coinkite, con sede en Toronto, ya ha corregido el fallo en todas las líneas de dispositivos afectadas. Un equipo de voluntarios financiado por OpenSats revisó más de 150 repositorios de código abierto y no halló indicios de que el problema se extendiera más allá de Coldcard. El incidente reavivó el debate en el sector sobre el valor de la autocustodia, y algunos sugirieron que los inversores deberían considerar alternativas como comprar bitcoin a través de fondos cotizados (ETF) en lugar de mantenerlo por cuenta propia. Klippsten sostiene que sus clientes no están dando marcha atrás en autocustodia; están buscando formas de dificultar el acceso a sus fondos. "Ahora mismo la gente se está pasando a Swan Vault", afirmó, en referencia al producto multisig colaborativo de la firma, donde ningún dispositivo individual puede poner en riesgo el dinero de un usuario. "En vez de abandonar la autocustodia, muchos la están mejorando". Su balance de la semana es de optimismo prudente: "Es terrible que la gente haya perdido monedas, y además hicieron todo bien según lo que les dijeron muchas figuras conocidas del sector. Pero Bitcoin es antifrágil y las herramientas se fortalecen cada hora. Esto podría acabar siendo lo mejor que le haya pasado nunca a la autocustodia".