Cómo las carteras frías de bitcoin perdieron 70 millones de dólares en un ataque que nunca tocó los dispositivos

Más de 1,000 bitcoins, con un valor aproximado de 70 millones de dólares, fueron extraídos de 1,196 billeteras en un período de 41 minutos el 30 de julio, casi duplicar la cantidad informó cuando el robo salió a la luz por primera vez.

Galaxy Research mapeó el evento completo en Viernes, encontrando 1,082.65 BTC barridos entre las 01:10 y las 01:51 UTC en seis bloques, con tres bloques intermedios sin contenido, lo que sugiere que las transacciones fueron transmitidas en lotes en lugar de de manera continua.

Los ingresos se encuentran en cuatro direcciones y no se han movido. Los informes iniciales capturaron solo una de esas direcciones, razón por la cual la cifra ha aumentado.

El tamaño del ataque es mucho menor que algunos de los ataques más grandes de este año, pero el mecanismo es lo que hace que esto sea inusual — y por qué el ataque es un asunto tan importante.

Por qué la vulnerabilidad en la cartera Coldcard es un asunto más grave que la mayoría de las vulnerabilidades

La mayoría de los robos de criptomonedas implican acceder a algún elemento. Se vulnera un intercambio, se engaña a un contrato, se obtiene una clave mediante phishing desde un portátil. La defensa siempre ha sido la distancia, que es precisamente lo que ofrece una billetera de hardware. Mantener la clave en un dispositivo que nunca se conecta a internet y, en teoría, no hay nada que un atacante pueda tocar.

Cuando se crea una cartera, se supone que el dispositivo debe elegir un número tan grande y tan impredecible que sea imposible de adivinar.

Ese número es la semilla, y cada dirección y clave privada se deriva de ella mediante reglas públicas fijas. El firmware de Coldcard estaba diseñado para obtener ese número de un generador de aleatoriedad de hardware dedicado. Una configuración interna de compilación le indicaba que omitiera ese generador, y una verificación en una biblioteca de soporte solo comprobaba si la configuración existía en lugar de si estaba activada.

La generación de claves se redujo a un sustituto básico de software alimentado por el número de serie del chip y sus registros de reloj. Este número de serie es metadata fija de fábrica, y los valores del reloj son estados temporales que un atacante puede delimitar o medir en un dispositivo propio.

La consecuencia fue que el rango de claves que el dispositivo podía producir se redujo de ser inimaginablemente vasto a contable. Los equipos de seguridad encontraron que la generación de claves podía determinarse en los modelos antiguos Mk2 y Mk3 — números para diferentes modelos de Coldcard — pero en los Mk4, Q y Mk5, estimaron el rango en aproximadamente cuatro mil millones de posibilidades.

Cuatro mil millones es un número grande para una persona, pero pequeño para una computadora. Un atacante genera semillas candidatas en su propio hardware, deriva las direcciones que cada una produciría y verifica esas direcciones contra la cadena de bloques pública, que cualquiera puede descargar.

Cada paso de ese proceso se ejecuta en la máquina del atacante. El dispositivo de la víctima no participa en ningún momento y podría estar apagado en una caja fuerte en otro continente.

El análisis de Galaxy muestra que el proceso está en ejecución. De las billeteras agotadas, 1,183 utilizaron el formato moderno nativo de dirección segwit, siete usaron un estándar más antiguo y seis uno aún más antiguo. Nadie apunta a una víctima específica a través de tres formatos de dirección a la vez.

Eso es una enumeración sistemática, verificando cada semilla candidata contra cada camino que podría haber producido. El operador puede ampliar la búsqueda, refinarla y regresar cuando lo desee.

Galaxy advirtió que es probable que se produzcan nuevas oleadas si los propietarios no trasladan sus fondos.

Tampoco puede un propietario determinar si está expuesto. No existe ninguna prueba que pueda realizarse en su propia cartera para revelar si su semilla se encuentra dentro del rango reproducible.

El ataque podría no estar completamente terminado

Coinkite, fabricante de Coldcard, ha advertido a los propietarios de Mk3 y afirma que sus dispositivos más recientes no se ven afectados, mientras que el informe de Block incluye también a Mk2, Mk4, Q y Mk5 en el alcance del problema. Hasta que esto se resuelva, cualquier persona que haya generado una semilla en el firmware afectado debe asumir lo peor en lugar de verificarlo.

Sin embargo, el atacante cometió un error.

Clay Garrett de Block dijo en X que el operador utilizó una cuenta de pago en un “proveedor de datos blockchain conocido” para consultar las direcciones de origen durante las barridas, y que los registros internos del proveedor coincidían con el flujo de trabajo sospechado con lo que él llamó una especificidad extraordinaria, hasta el número, el momento y la secuencia de las solicitudes.

El proveedor parece haber estado suministrando servicios ordinarios a solicitudes que no indicaban su propósito. Block ha transmitido la información a las autoridades.

El almacenamiento en frío promete que una clave es imposible de adivinar. Todos lo interpretaron como una promesa de que una clave es inalcanzable, y el costo de encontrar y explotar fallas en el primer tipo sigue disminuyendo.

Anthropic publicó una investigación el martes que demuestra que uno de sus modelos redujo a la mitad la seguridad de un algoritmo candidato post-cuántico en 60 horas, frente a un diseño que había resistido dos años de revisión experta.

Almacenar una clave de manera segura es ahora la mitad más fácil del problema.