Una falla en la generación de claves de una billetera de hardware para criptomonedas permite calcular las llaves privadas y ya causó el robo de $88 millones en Bitcoin

Qué ocurrió

Un error en el firmware de las billeteras de hardware COLDCARD provocó que el generador de números aleatorios usado para crear las semillas (las frases de recuperación que protegen los fondos) no fuera realmente aleatorio: en lugar de usar el componente de hardware diseñado para eso, el sistema generaba las semillas a partir de datos predecibles, como el identificador del microcontrolador y el reloj del sistema. Atacantes explotaron esta debilidad para reconstruir semillas fuera de línea, calcular las direcciones de Bitcoin asociadas y compararlas contra direcciones públicas con fondos. Al encontrar coincidencias, generaron las llaves privadas correspondientes y transfirieron el dinero. El robo confirmado hasta ahora suma aproximadamente 1,367 Bitcoin, unos $88.6 millones de dólares, repartido en tres oleadas y 4,585 direcciones distintas.

Quién está expuesto

Dueños de billeteras de hardware COLDCARD modelos Mk2, Mk3, Mk4, Mk5 o Q, cuya semilla actual se generó con una versión de firmware anterior a la corrección liberada a partir del 30 de julio de 2026.

A considerar

Actualizar el firmware del dispositivo no repara una semilla que ya fue generada con la falla; la única forma de estar seguro es generar una semilla completamente nueva después de instalar el firmware corregido y mover los fondos a esa nueva dirección. Conviene conservar el respaldo de la semilla anterior hasta confirmar que la migración se completó correctamente.

Impacto potencial

Un atacante puede calcular la llave privada de la cartera sin necesidad de acceso físico al dispositivo, y transferir los fondos a su propia dirección sin que el dueño lo note hasta revisar el saldo.

Leer fuente original →