Cómo las carteras de hardware de Bitcoin ayudaron a los usuarios durante la crisis de Coldcard

Bitcoin.com News analizó cómo se comunicaron los 13 principales fabricantes de estos dispositivos cruciales en X, el principal canal de redes sociales para todo lo relacionado con los criptoactivos, desde que estalló la crisis a finales de julio y durante el mes de agosto.

RAPIDEZ Y CLARIDAD

Los equipos diferían en cuanto a rapidez, claridad, utilidad, tono, nivel de jactancia y en si seguían haciendo un seguimiento del asunto días y, ahora, semanas después. Por ejemplo, el fabricante de Bitkey, la empresa estadounidense Block —que formaba parte de la investigación inicial de Coldcard—, fue uno de los primeros en advertir a sus usuarios y a la comunidad en general sobre el fallo de seguridad, y pronto le siguió la empresa canadiense Blockstream, fabricante de Jade. Por su parte, a otros les llevó más de un día publicar en X. Uno de los líderes del sector, Ledger, con sede en Europa, informó a sus seguidores en X unas 14 horas después de que estallara la crisis.

Sin embargo, los que respondieron más rápido no siempre fueron los más exhaustivos.

UNA OPORTUNIDAD MÁS AMPLIA DE AUTOCUSTODIA

En cualquier caso, entre los patrones que surgieron en las comunicaciones de las carteras, se hizo especial hincapié en cómo se genera la entropía, ya que los equipos intentaban diferenciarse de Coldcard. Además, algunos equipos destacaron la compatibilidad con la entropía generada por el usuario como una forma de reducir la confianza en el generador de números aleatorios (RNG) propio del dispositivo.

También se observó un enfoque diferente en cuanto a la forma en que los fabricantes de dispositivos de código cerrado y de código abierto han intentado tranquilizar a sus usuarios. Los dispositivos con credenciales de código abierto más sólidas (Passport Prime, Trezor, Bitbox, Keystone, Blockstream Jade) se inclinaron por la verificabilidad, mientras que los diseños más de código cerrado (Ledger, Tangem, Ngrave) se apoyaron más en las certificaciones y las auditorías.

Además, no todos los equipos abordaron las configuraciones de multifirma (multisig) como defensa estructural, especialmente en lo que respecta a las configuraciones con múltiples proveedores, mientras que varias empresas aprovecharon el momento para promover, en general, mejores prácticas más amplias en materia de autocustodia.

AYUDA Y PRESUMIR

En cuanto al seguimiento, Trezor, Bitkey, Bitbox y Blockstream Jade destacaron por su mayor actividad, proporcionando información adicional, mientras que Ledger, Tangem, Safepal y Ngrave se mostraron relativamente menos activos en ese sentido.

Además, no todos los equipos ofrecieron consejos prácticos de migración a los usuarios afectados, y Foundation (el fabricante de Passport Prime), Bitkey, Ellipal, Jade, Bitbox y Trezor destacaron por ofrecer orientaciones prácticas. Por su parte, Foundation y Trezor también informaron sobre sus medidas adicionales de refuerzo de la seguridad. Ngrave y Ellipal parecen haber utilizado el lenguaje promocional más contundente, con expresiones como «la más segura del mundo» o «líder en air-gap», entre otras.

Ahora, echemos un vistazo rápido a las comunicaciones de cada una de las carteras. Están clasificadas según su primera publicación en X durante la crisis.

REACCIONES DE LAS 13 PRINCIPALES CARTERAS FÍSICAS DE BITCOIN ANTE LA CRISIS DE COLDCARD

Bitkey 30 de julio, 22:07 EDT Bitkey y su fabricante, Block, adoptaron desde el principio una postura proactiva ante la crisis de Coldcard, ya que el equipo de Block investigó de forma independiente los robos y publicó un análisis técnico detallado que confirmaba que la cartera Bitkey, que no utiliza semillas, no se había visto afectada. Además de ofrecer explicaciones claras en un lenguaje sencillo y advertir de que las semillas vulnerables de Coldcard siguen estando comprometidas aunque se trasladen a otro lugar, el equipo también desaconsejó realizar nuevas configuraciones de autocustodia de forma precipitada. En una sección de preguntas frecuentes publicada a mediados de agosto se reiteró que Bitkey no se había visto afectada, que no era necesario tomar ninguna medida y se detalló su diseño básico de multisig 2 de 3. Posteriormente, la comunicación se centró en la formación sobre el producto en lo relativo a la multisig y la recuperación, en lugar de repetir mensajes sobre la crisis.

Blockstream Jade 30 de julio, 23:20 h EDT Este equipo se aseguró de inmediato de que las frases semilla de Jade se generaran a partir de múltiples fuentes de entropía independientes. Además, publicó una entrada de blog práctica en la que se describía un proceso de migración en cuatro pasos para los usuarios de Coldcard afectados. El equipo detalló el diseño de entropía de múltiples fuentes de Jade y destacó su naturaleza totalmente de código abierto. Las comunicaciones posteriores se centraron en responder a las preguntas de los usuarios, explicar las características de seguridad de la cartera y anunciar nuevos métodos para crear entropía sin conexión.

Passport Prime 30 de julio, 23:33 h EDT El fabricante de la cartera Passport Prime respondió con un comunicado en el que afirmaba que todos sus modelos siempre han generado entropía correcta y son seguros. A continuación, publicó entradas técnicas detalladas en las que explicaba el fallo de Coldcard y su propio diseño de entropía de hardware de múltiples fuentes. Además, el equipo compartió una revisión adicional de su arquitectura de entropía tras el incidente. Entre las nuevas medidas específicas anunciadas se incluían un mayor control del estado del dispositivo para evitar semillas con baja entropía debidas a fallos de hardware, el lanzamiento de una aplicación de pruebas de entropía para usuarios en Passport Prime y planes para publicar informes de revisión de código mediante IA con cada lanzamiento de software.

Trezor 31 de julio, 03:16 a. m. EDT Trezor aseguró a los usuarios que sus fondos estaban a salvo, y añadió poco después que cualquiera que hubiera transferido una semilla generada por Coldcard a un Trezor seguía estando en riesgo. La misma advertencia está presente también en la mayoría de las demás carteras. A los pocos días, el equipo publicó un desglose técnico del diseño de entropía de la cartera. A continuación, la comunicación continuó hasta mediados de agosto, consolidando su postura y repitiendo explicaciones sobre la entropía, advertencias sobre el phishing y menciones a la posible incorporación de soporte para la entropía mediante tiradas de dados. Mientras tanto, el 13 de agosto, Trezor reveló que casi 14 000 de sus clientes se vieron afectados por una filtración de datos en ShipMonk, uno de los proveedores de servicios de envío de Trezor.

OneKey 31 de julio, 04:24 a. m. EDT Tras tranquilizar a sus usuarios asegurándoles que estos dispositivos no se veían afectados, OneKey explicó que la entropía se genera íntegramente en el propio dispositivo, combinando fuentes aleatorias independientes. En comunicaciones posteriores se reiteraron los mismos puntos principales, entre ellos las fuentes duales de entropía en el propio dispositivo, la certificación, el firmware de código abierto y la revisión continua por parte de una empresa de seguridad, al tiempo que se compartieron artículos más detallados, por ejemplo, sobre la firma múltiple o cómo reforzar la seguridad de una frase semilla.

Bitbox 31 de julio, 04:52 a. m. EDT Antes de su primera declaración sustantiva del 31 de julio, el equipo ya había respondido en un hilo anterior independiente que sus dispositivos eran seguros. BitBox también explicó que sus semillas combinan cinco fuentes de entropía independientes. En las respuestas posteriores se detallaron sus fuentes de entropía, presentadas como una «defensa en profundidad», y se hizo hincapié en el firmware de código abierto, las auditorías internas asistidas por IA, un programa de recompensa por errores y la compatibilidad con la entropía generada manualmente mediante el lanzamiento de dados. BitBox también explicó las ventajas y los inconvenientes de una configuración multisig. Por otra parte, sin relación con Coldcard, BitBox reveló y corrigió sus propios errores de firmware. No se ha informado de ningún caso de explotación.

Keystone 31 de julio, 06:47 a. m. EDT
Las primeras publicaciones de Keystone abordaban su generación de entropía sin mencionar la crisis de Coldcard, pero fueron seguidas por otra declaración el 4 de agosto, en la que se confirmaba que las comprobaciones internas habían determinado que todos los dispositivos de Keystone eran seguros. Posteriormente, el equipo detalló el diseño de su dispositivo, haciendo hincapié en que el proceso de generación se había verificado en todas las etapas. También ofrecieron dos soluciones opcionales, como añadir una frase de acceso BIP-39 o utilizar la función de lanzamiento de dados del dispositivo. Las respuestas posteriores hasta principios de agosto se centraron en el diseño de múltiples fuentes y en las opciones de los dados y la frase de acceso, al tiempo que remitían a sus usuarios al firmware de código abierto y a los informes de auditoría públicos para una verificación independiente.

Ledger 31 de julio, 12:16 EDT Tras el mensaje inicial en el que Ledger afirmaba no verse afectado por el problema de Coldcard, señalando que contaba con un generador de números aleatorios verdaderamente aleatorios certificado integrado en su elemento seguro, el 2 de agosto llegó una explicación más detallada de la mano de su director técnico, Charles Guillemet. En sus comunicaciones posteriores, el equipo se centró en las diferencias de su tecnología, al tiempo que ofrecía orientación sobre la multifirma, advirtiendo de que las configuraciones de custodia más complejas también pueden ser más arriesgadas, y proponiendo otras soluciones como Miniscript y MuSig2, un protocolo de multifirma de bitcoin de dos rondas. Además, el equipo explicó cómo se están preparando para los ataques de seguridad acelerados por IA. Aunque Ledger no ha sufrido ninguna brecha de seguridad, sus clientes se vieron afectados por dos filtraciones de datos personales derivadas de incidentes de terceros.

Tangem 31 de julio, 15:08 EDT Tangem también se apresuró a destacar que este dispositivo sin semilla funciona con un código totalmente independiente del de Coldcard. Más adelante, en agosto, Tangem argumentó que la seguridad proviene de la arquitectura, las pruebas y la verificación independiente, y no solo del código abierto. Además, publicó una explicación de por qué el malware dirigido a las semillas no funciona contra Tangem. Posteriormente, el mensaje principal del equipo se centró en la arquitectura y la certificación.

Ellipal 1 de agosto, 07:21 EDT
Además de tranquilizar a sus usuarios, Ellipal les invitó a verificar en lugar de limitarse a confiar, ya que el dispositivo acepta una semilla generada por el propio usuario. Asimismo, compartió una explicación sobre cómo comprobar la aleatoriedad de forma independiente. Dos días después, organizó un sorteo de herramientas de seguridad para semillas. En las publicaciones posteriores, se centró en explicaciones técnicas, mientras que el 5 de agosto ofreció una lista de comprobación para la migración dirigida a los usuarios que hubieran generado una semilla en una Coldcard. Ellipal también se mostró activa a la hora de advertir a sus usuarios sobre intentos de phishing e incluso compartió una publicación de su competidor, Ledger, sobre hardware de código abierto.

Safepal 1 de agosto, 14:14 h EDT SafePal también se centró en diferenciarse de Coldcard, afirmando que esta cartera obtiene entropía en el momento de su creación, en lugar de depender de un único chip o fuente. Al igual que muchas otras carteras, también advirtió sobre los intentos de phishing. Su publicación y su entrada de blog del 1 de agosto constituyeron, en esencia, toda su respuesta, y posteriormente solo compartió una publicación sobre frases de contraseña. Sin embargo, el 16 de agosto, la empresa reveló que casi 40 000 de sus clientes se vieron afectados por una filtración de datos.

Ngrave 1 de agosto, 15:43 h EDT Ngrave se centró en su proceso de generación de la «clave perfecta», que combina varias técnicas criptográficas, la generación en un entorno aislado (air-gapped) y la propia huella dactilar del usuario. Posteriormente, no dejó de recordar a los usuarios que confiar en una única fuente de generación de claves supone un punto único de fallo. También invitó a los usuarios a verificar el diseño por sí mismos. Además, el equipo afirmó que está aprovechando «diversas evaluaciones de ciberdefensa asistidas por modelos de lenguaje grande (LLM), utilizando los modelos más avanzados del mundo para proteger sus fondos», y anunció su programa de eliminación de datos de clientes.

KeepKey 1 de agosto, 16:25 EDT
KeepKey compartió un desglose técnico elaborado por su desarrollador, incluyendo además un enlace a una entrada del blog de KeepKey en la que se explicaba quiénes estaban en riesgo, los pasos para la migración y por qué una firma múltiple basada íntegramente en Coldcard no protege contra este tipo de fallos. Esta fue la única publicación de KeepKey tras el inicio de la crisis de Coldcard, ya que este equipo no es muy activo en X.

En conclusión, la crisis de Coldcard no solo ha enseñado nuevas lecciones de seguridad a los fabricantes de monederos de hardware, sino que, con suerte, su comunicación también mejorará aún más cuando —o si— se produzca la próxima crisis.

Bitcoin.com News se ha puesto en contacto con todos estos equipos para recabar sus comentarios y compartirá sus respuestas, en caso de que las faciliten.