Más de 1.000 BTC, por valor de aproximadamente $70 millones, fueron vaciados de 1.196 monederos Coldcard en una ventana de 41 minutos el 30 de julio, casi el doble de la pérdida inicialmente reportada. Galaxy Research mapeó el evento completo el viernes, rastreando 1.082,65 BTC barridos a través de seis bloques entre las 01:10 y las 01:51 UTC, con tres bloques intermedios vacíos, lo que apuntó a emisiones por lotes en lugar de un barrido continuo. Los fondos permanecen en cuatro direcciones y no se han movido, y las primeras informaciones solo capturaron una de esas direcciones, por lo que la cifra de cabecera no ha dejado de crecer.
Por qué importa
El exploit no requirió tocar el dispositivo. Un fallo de firmware en ciertos modelos de Coldcard indicó al monedero omitir su generador de aleatoriedad por hardware dedicado y recurrir a un sustituto básico por software alimentado por el número de serie del chip y los registros de reloj. El número de serie es metadato fijo de fábrica, y los valores del reloj son estado temporal que un atacante puede acotar o medir en un dispositivo propio. El rango de claves que el dispositivo podía llegar a generar se redujo de astronómicamente vasto a enumerable: aproximadamente cuatro mil millones de posibilidades en el Mk4, Q y Mk5, y completamente recuperable en los antiguos Mk2 y Mk3. Un atacante genera semillas candidatas sin conexión, deriva las direcciones de cada candidata y las comprueba contra la blockchain pública, todo sin que el dispositivo de la víctima llegue a estar nunca en línea.
Impacto en el mercado
Galaxy advirtió que es probable que haya nuevas oleadas si los propietarios no mueven sus fondos, y no existe ninguna prueba fiable que un usuario pueda ejecutar para determinar si su semilla cae dentro del rango reproducible. Coinkite ha advertido a los propietarios del Mk3 y afirma que sus dispositivos más recientes no están afectados, mientras que el informe de Block sitúa al Mk2, Mk4, Q y Mk5 también en el alcance. El atacante sí dejó un rastro: Clay Garrett de Block dijo en X que el operador usó una cuenta de pago en un conocido proveedor de datos blockchain para consultar direcciones de origen durante los barridos, y los registros internos del proveedor coincidieron con el flujo de trabajo con lo que él calificó como una extraordinaria precisión. Block ha trasladado la información a las autoridades, y los fondos permanecen inmóviles en cuatro direcciones, dejando a los investigadores una ventana para actuar antes de que comience el siguiente barrido.
Preguntas frecuentes
-
¿Cómo vaciaron los atacantes monederos Coldcard sin tocarlos?
Un fallo de firmware indicó al dispositivo omitir su generador de aleatoriedad por hardware y recurrir a un sustituto por software alimentado por el número de serie del chip y los registros de reloj, reduciendo el espacio de claves a unos pocos miles de millones de opciones. Los atacantes enumeraron semillas…
-
¿Cuánto bitcoin se robó y de cuántos monederos?
Galaxy Research rastreó 1.082,65 BTC vaciados de 1.196 monederos Coldcard a través de seis bloques entre las 01:10 y las 01:51 UTC del 30 de julio, totalizando aproximadamente $70 millones y permaneciendo inmóviles en cuatro direcciones.
-
¿Qué modelos de Coldcard están afectados por el fallo?
Coinkite ha advertido a los propietarios del Mk3 y afirma que los dispositivos más recientes no están afectados, mientras que el informe de Block sitúa al Mk2, Mk4, Q y Mk5 también en el alcance. El espacio de claves en el Mk4, Q y Mk5 se reduce a aproximadamente cuatro mil millones de posibilidades, y es…
-
¿Pueden los propietarios de Coldcard comprobar si sus monederos están expuestos?
No. Galaxy advirtió que no existe ninguna prueba que un usuario pueda ejecutar contra su propio monedero para determinar si su semilla cae dentro del rango reproducible, así que cualquiera que haya generado una semilla con el firmware afectado debe asumir lo peor hasta mover sus fondos.
-
¿Qué pistas tienen los investigadores sobre el atacante?
Clay Garrett de Block dijo que el operador usó una cuenta de pago en un conocido proveedor de datos blockchain para consultar direcciones de origen durante los barridos, y los registros internos del proveedor coincidieron con el flujo de trabajo con lo que él calificó como una extraordinaria precisión. Block ha…
CryptoSlate
TheBlock
WuBlockchain
Crypto Rank News