Las ventas de Trezor, Onekey y Bitbox se disparan en medio de la crisis de las tarjetas frías; los modelos de seguridad evolucionan

De los 13 fabricantes de carteras de hardware con los que Bitcoin.com News se puso en contacto para recabar comentarios, Trezor, Bitbox y Onekey confirmaron que sus ventas se dispararon en agosto. Ledger se negó a comentar sus ventas mensuales, mientras que el fabricante de Bitkey —que cotiza en bolsa—, Block, está sujeto a sus informes trimestrales.

Aunque ninguna de las empresas reveló las cifras exactas, Bitbox fue la más concreta al afirmar que sus ventas con tarjeta de crédito se multiplicaron por diez aproximadamente en comparación con la referencia de las semanas anteriores. Esto no incluye las ventas realizadas a través de otros métodos de pago.

«Hemos observado un aumento en las ventas, procedentes en su mayoría de Norteamérica, donde, presumiblemente, Coldcard tenía su mayor presencia», declaró el director ejecutivo de Bitbox, Douglas Bakkum, a Bitcoin.com News.

Una señal alentadora para la autocustodia

Por su parte, Trezor afirmó que también había registrado un aumento de las ventas, especialmente en las de sus productos exclusivos para bitcoin. Aunque la empresa no especificó las cifras, su director de seguridad, Jan Komárek, señaló que este repunte es una señal alentadora para todo el sector del bitcoin.

«Para nosotros, lo más interesante es lo que esto sugiere: parece que las personas afectadas por la situación de Coldcard buscaron otra cartera de hardware en lugar de renunciar a la autocustodia», afirmó, añadiendo que esta es «la conclusión alentadora: que la respuesta ante un momento difícil fue mantener el control de sus propias claves, en lugar de renunciar a ello».

Sin embargo, según los analistas del sector, muchos usuarios de carteras de hardware enviaron sus fondos a plataformas de intercambio de criptomonedas o trasladaron su capital a ETF, abandonando la autocustodia. En cualquier caso, no está claro cuál fue la magnitud de esta migración ni si se trató únicamente de una medida temporal antes de que los usuarios volvieran a la autocustodia.

Onekey, aunque también registró un aumento de las ventas, señaló que esto podría haberse visto afectado por otros factores, entre ellos los ciclos de vida de los productos individuales. Según la empresa, la crisis de Coldcard avivó un debate mucho más amplio sobre cuestiones de seguridad de las carteras de hardware que suelen pasar desapercibidas para los usuarios finales, como la generación de frases semilla.

Sin embargo, la vulnerabilidad del firmware de Coldcard suscitó debates y medidas similares no solo entre los usuarios finales, sino también entre los fabricantes de carteras de hardware. En primer lugar, el incidente llevó a los equipos a revisar sus modelos de seguridad actuales.

Qué han hecho ya las carteras

Trezor revisó su propio proceso de generación de semillas, centrándose específicamente en el modo de fallo que se explotó en el caso de Coldcard; BitBox realizó «un nuevo análisis detallado» de su código generador de números aleatorios, mientras que Onekey afirmó que llevó a cabo una verificación adicional de extremo a extremo de la entropía y las rutas de generación de semillas en toda su gama de carteras de hardware.

Según informó Bitcoin.com News, de forma independiente y sin relación con Coldcard, BitBox reveló y corrigió sus propios errores de firmware este mes de agosto. No se ha informado de ningún caso de explotación. Mientras tanto, ese mismo mes, Trezor reveló que casi 14 000 de sus clientes se vieron afectados por una filtración de datos en uno de los proveedores de transporte de Trezor. En cualquier caso, la principal batalla en materia de seguridad aún está por llegar, a medida que las carteras de hardware para bitcoin y otros criptoactivos se adaptan a la nueva realidad impulsada por la IA.

Dos aspectos en los que centrarse

«Los atacantes ya trabajan a la velocidad de las máquinas, por lo que nosotros también debemos hacerlo para ir un paso por delante de ellos», afirmó Charles Guillemet, director técnico de Ledger, añadiendo que, en la actualidad, la defensa sigue avanzando más lentamente que los atacantes. Al menos, según él, el margen de tiempo entre el lanzamiento de un parche y su uso con fines maliciosos se está reduciendo.

El director técnico hizo hincapié en que las empresas deberían centrarse ahora en dos aspectos: mejorar la divulgación de información y la formación de los usuarios.

«En primer lugar, la divulgación responsable debe evolucionar con parches más rápidos, plazos de divulgación más cortos y estrategias de migración que asuman que los atacantes capacitados y asistidos por IA forman parte del modelo de seguridad, en lugar de ser mejoras opcionales», declaró Guillemet a Bitcoin.com News.

Además, según él, ayudar a la gente a comprender las carteras de hardware «va a ser esencial para mantener la seguridad del sector».

Actualiza incluso tus electrodomésticos

En la misma línea, en sus «reflexiones sobre las repercusiones del caso Coldcard», los desarrolladores del monedero Blockstream Jade instaron a los usuarios de monederos de hardware a mantener su software actualizado. Blockstream Jade acaba de lanzar una actualización de firmware con varias correcciones. Sin embargo, según el equipo, además de las carteras de hardware, los usuarios deberían mantener actualizadas sus aplicaciones, sistemas operativos, dispositivos, routers e incluso sus electrodomésticos.

«Mantener la seguridad es un proceso continuo, y tú, como usuario, también debes participar», subrayaron, añadiendo que el fallo de Coldcard fue «un caso desafortunado en el que no se pudo garantizar la seguridad de los usuarios mediante la actualización» de su software y firmware.

Por su parte, Onekey añadió que la seguridad de los monederos de hardware debe basarse en la entropía y el almacenamiento de claves respaldados por hardware, software de código abierto verificable, revisiones de seguridad independientes, una separación rigurosa de los componentes críticos para la seguridad y una verificación clara de las transacciones por parte del usuario.

«A medida que la IA reduce el coste de analizar el software y automatizar los ataques, el objetivo es garantizar que el descubrimiento de una única vulnerabilidad en la implementación no sea suficiente para comprometer todo el modelo de seguridad», afirmó el fabricante de monederos.

Planes de seguridad a corto, medio y largo plazo

Las propias empresas ya están implementando cambios de seguridad a corto, medio y largo plazo. Por ejemplo, Trezor, «en respuesta directa a los hallazgos de Coldcard», está añadiendo «más comprobaciones de validez» a la entropía generada internamente por el propio dispositivo a la hora de verificar si realmente se utiliza entropía externa.

«Más allá de eso, nuestra revisión nos ha llevado a reforzar nuestras pruebas internas y nuestros mecanismos de alerta en torno al generador de pruebas inseguro, así como a ampliar la forma en que verificamos la ruta de llamada de cada fuente de entropía individual», explicó Komárek, señalando que el generador inseguro existe únicamente para pruebas internas.

La empresa también está analizando los informes de investigadores de seguridad independientes y, a medio plazo, tiene previsto realizar una nueva prueba de penetración de las funciones principales del firmware, llevada a cabo por «una agencia de seguridad externa de reconocido prestigio». Está previsto que los informes de auditoría de seguridad se hagan públicos.

«A más largo plazo, nuestro objetivo es adelantarnos a los ataques basados en IA en lugar de reaccionar ante ellos», afirmó el responsable de seguridad, al tiempo que otros fabricantes de carteras también han destacado que ya están utilizando la IA para revisar su código, junto con programas de recompensas.

«Nuestro laboratorio de investigación Donjon (laboratorio de hackers de sombrero blanco) existe para intentar vulnerar nuestros productos antes de que nadie más pueda hacerlo, y a nivel interno hacemos un uso intensivo de los modelos de lenguaje grande (LLM) para detectar vulnerabilidades en nuestros propios productos», añadió Guillemet, de Ledger.

Onekey afirmó que ahora se centra en reforzar las revisiones de las rutas de código críticas para la seguridad, las compilaciones de firmware, la generación de entropía y los flujos de firma de transacciones, mientras que, a medio plazo, su atención se centrará en la verificación de transacciones, en referencia a la solución Clear Signing, relevante para muchos de los principales activos criptográficos, además del bitcoin.

Responsabilidad compartida y nuevos errores críticos

Mientras tanto, los investigadores de seguridad de Block, el fabricante de Bitkey, desempeñaron un papel fundamental a la hora de ayudar al sector del bitcoin y de los monederos físicos durante la crisis de Coldcard, ya que colaboraron activamente con la comunidad para compartir hallazgos críticos y coordinar los esfuerzos de respuesta.

«Compartimos nuestros hallazgos de forma transparente tanto a través de debates públicos en X como por canales privados, porque creemos que, cuando las vulnerabilidades de seguridad afectan al ecosistema, todos los fabricantes tienen la responsabilidad de actuar con rapidez», declaró la empresa a Bitcoin.com News, añadiendo que las carteras de hardware deben mantener el control sobre los modelos de seguridad clave.

Mientras se redactaba este artículo, el 26 de agosto, comenzaron a circular informes sobre otro «error crítico en un importante proveedor de carteras de hardware». Rob Segers, consultor de seguridad de Bitcoin y fundador de Bitsaga, quien descubrió este fallo junto con «otros varios de alta gravedad», afirmó que el proveedor, cuyo nombre no se ha revelado, confirmó la existencia de estos fallos, «pero ya hay una corrección prevista para una próxima versión».

Según Seger, el fallo crítico se encontró en el «firmware oficial del dispositivo, pero requiere un software malicioso en el dispositivo» para robar los fondos. Esto significa que el fallo podría ser explotado si un usuario, por ejemplo, descargara una cartera falsa. Marek «Slush» Palatinus, cofundador de Trezor, confirmó que el fallo notificado no afecta a esta cartera. Por su parte, Seger informó de que había encontrado dos fallos más, lo que le valió críticas por sembrar el pánico. Manténganse a salvo.