Vulnerabilitat del firmware de Coldcard: pèrdues per valor de 114 milions de wons... Les limitacions dels moneders aïllats

Les carteres "airgap" són dipòsits de maquinari no custodis que estan físicament aïllats de qualsevol comunicació sense fils, incloent-hi Wi-Fi, Bluetooth i NFC, així com d'Internet. El seu principal avantatge és que les claus privades no es veuen exposades a un entorn en línia, cosa que redueix dràsticament la superfície d'atac contra programari maliciós o atacs de pirateria remota. Alguns dels fabricants més destacats són ELLIPAL, Keystone i Foundation Devices (Passport), que utilitzen codis QR, així com Blockstream (Jade) i CoinKite, que produeixen targetes fredes. En canvi, Ledger i Trezor no es consideren carteres "airgap" en el sentit estricte, ja que es connecten mitjançant USB o Bluetooth. La Coldcard, llançada el 2017, admet signatures offline mitjançant targetes microSD i codis QR, i s'ha considerat durant molt de temps com un dels productes de billetera de maquinari de Bitcoin amb més èmfasi en la seguretat. No obstant això, a finals de juliol de 2026, el fabricant CoinKite va revelar que alguns dispositius Coldcard generaven frases de recuperació en un conjunt de caràcters molt més petit del que estava previst, a causa d'un error en la versió del firmware introduït el març de 2021. Això significa que la aleatorietat necessària per a la protecció de les claus privades es reduïa significativament, i que els atacants podrien utilitzar intel·ligència artificial o programari especialitzat per endevinar les claus privades molt més ràpidament. Galaxy Research ha analitzat que aquesta vulnerabilitat de les "cold wallets" s'ha desenvolupat en múltiples onades. Els danys observats han augmentat ràpidament, passant d'aproximadament 8,8 milions de dòlars a gairebé 114 milions de dòlars en pèrdues de Bitcoin en només uns dies. Després de l'advertència dels investigadors, molts usuaris de "cold wallets" han traslladat els seus bitcoins des de les adreces originals, però encara persisteix la preocupació que altres adreces vulnerables puguin ser objectiu. Aquest incident no tant reflecteix les limitacions del sistema "air gap" en si mateix, sinó més aviat els riscos inherents a la cadena de subministrament d'un producte com una cartera de hardware. Fins i tot si la cartera no està connectada a Internet, l'usuari acaba confiant en la qualitat del firmware del fabricant, en la lògica de generació de números aleatoris i en les pràctiques de desenvolupament de programari. El sistema "air gap" és una capa de protecció important, però no garanteix que el dispositiu estigui completament lliure de vulnerabilitats. Els experts en seguretat insisteixen en què els titulars de criptomonedes han d'evitar els punts de fallada únics, és a dir, no han de guardar tots els seus actius en un sol lloc. A més, recorden els principis bàsics que cal tenir en compte: emmagatzemar de manera segura les frases de recuperació, verificar sempre l'historial de transaccions abans de signar-les i prestar atenció a la seguretat dels dispositius físics.