Coinkite lanzó una actualización de firmware para las billeteras Coldcard que obliga a aportar entropía manual al crear cada nueva semilla de Bitcoin, tras el robo de más de u$s130 millones que convirtió al ataque contra ese fabricante en el mayor hackeo de una hardware wallet registrado.
Las versiones 5.6.1 para los modelos Mk4 y Mk5, y 1.5.1Q para el modelo Q, se publicaron el pasado jueves luego de tres semanas de revisión posteriores al parche de emergencia del 31 de julio. La empresa detalló que el trabajo incluyó auditoría asistida por modelos de inteligencia artificial y por investigadores externos, además de la propia revisión interna.
A partir de esta versión, cada semilla nueva requiere al menos un método de entropía provisto manualmente por el usuario, que se combina con la aleatoriedad que generan los elementos seguros del dispositivo y el generador interno del microcontrolador.
Las opciones son:
Coinkite también reemplazó el algoritmo secundario de números pseudoaleatorios Yasmarang por el estándar Hash_DRBG basado en SHA-256, y sumó controles adicionales para detectar fallas de arranque en el generador de números aleatorios por hardware.
La actualización incorpora, además, una reverificación de las transacciones justo antes de firmarlas, para bloquear cualquier modificación de último momento si el equipo conectado al dispositivo estuviera comprometido.
La compañía fue clara en un punto central: instalar el nuevo firmware no vuelve seguras las semillas que ya fueron generadas en versiones vulnerables. Quienes crearon su clave privada con el software afectado deben generar una semilla completamente nueva y trasladar sus fondos a una dirección distinta.
La falla se originó en un error de firmware de 2021 que desactivó el generador de números aleatorios por hardware y lo reemplazó por un método de baja entropía, lo que redujo la seguridad efectiva de las claves de 128 a apenas 40 bits.
Ese defecto permitió a los atacantes reconstruir semillas de forma completamente offline, sin necesidad de tocar el dispositivo físico de la víctima.
El ataque comenzó el 30 de julio, cuando en apenas 25 minutos se drenaron 594 BTC de alrededor de 500 direcciones.
En las semanas siguientes, sucesivas oleadas elevaron el total sustraído a 1.816 BTC, equivalentes a más de u$s116 millones según la firma TRM Labs, mientras Galaxy Research ubicó las pérdidas por encima de u$s130 millones tras identificar movimientos adicionales de fondos.
Según los datos de Galaxy Research, el 88% de los Bitcoin robados no se habían movido en más de un año, con una antigüedad mediana de 3,5 años, lo que sugiere que los atacantes explotaron billeteras dormidas antes de ser detectados.
Hasta el momento, apenas 192 personas reportaron pérdidas de manera oficial, aunque se estima que la cifra real de afectados es mucho mayor.
Coinkite recomienda a todo usuario que haya generado una semilla en firmware afectado entre 2021 y julio de 2026 crear una nueva clave con el software corregido, verificar la copia de respaldo y enviar una transacción de prueba antes de mover el resto de los fondos.
La empresa lanzó además una página pública de estado de seguridad, donde publica la matriz de versiones corregidas y las novedades verificadas sobre la investigación en curso.
Las autoridades estadounidenses continúan investigando el origen del ataque, y Galaxy Research informó que ya compartió direcciones de atacantes y víctimas con agencias federales, exchanges y firmas de cumplimiento normativo para intentar rastrear el destino de los fondos robados.