La empresa canadiense Coinkite, con sede en Toronto, ha admitido que un error en sus monederos Coldcard facilitó el robo de más de 100 millones de dólares en bitcoin. A pesar de las revisiones de código asistidas por inteligencia artificial realizadas semanas antes del ataque, la vulnerabilidad no fue detectada ni corregida.
El fallo se originó en la interacción entre dos submódulos no relacionados del sistema, excluyendo el código principal y la lógica criptográfica, que suelen ser el enfoque principal en las auditorías de seguridad. Según Galaxy Research, se han confirmado tres oleadas de ataques, además de otros incidentes menores, que han resultado en la sustracción de 1.596 bitcoins de aproximadamente 7.300 direcciones. Una cuarta oleada no confirmada podría elevar la cifra total a 2.055 bitcoins, con un valor estimado en 130 millones de dólares.
Los monederos Coldcard funcionan como dispositivos físicos que protegen las claves de acceso a los bitcoins, que permanecen en la red. Este ataque se aprovechó de un fallo en el firmware distribuido desde marzo de 2021, permitiendo a los atacantes reconstruir las claves privadas sin necesidad de acceso físico a los dispositivos. Rodolfo Novak, CEO y cofundador de Coinkite, se ha disculpado públicamente y ha asumido la responsabilidad del incidente, mientras la empresa colabora con las autoridades competentes.
Coinkite ha instado a otros fabricantes de hardware a prestar especial atención a las conexiones entre módulos para evitar futuros problemas similares. La situación sigue en desarrollo, y se espera que surjan más detalles sobre las implicaciones de este robo millonario y las medidas que se tomarán para reforzar la seguridad en el futuro.
