Experimento peligroso con Coldcard: cómo los hackers vacían rápidamente las carteras vulnerables
El reconocido investigador y bloguero Cole llevó a cabo una provocadora prueba pública que destapó una realidad alarmante: los monederos hardware Coldcard, considerados el estándar de seguridad, pueden verse comprometidos en cuestión de minutos. Durante el experimento, generó una frase semilla en un dispositivo Coldcard Mk3 y creó cinco monederos, cada uno de los cuales recibió la misma cantidad en satoshis. El objetivo era comprobar con qué rapidez los escáneres automatizados de los atacantes detectarían y vaciarían estas direcciones.
Todo el proceso quedó documentado en vídeo para garantizar la máxima transparencia. El motivo de la prueba fue el reciente incidente de alto perfil del hackeo de Coldcard, que ya había logrado socavar la confianza en esta marca.
Detalles y metodología del experimento
Para garantizar la pureza de la investigación, Cole utilizó un Coldcard Mk3 con la versión de firmware 4.1.8, que considera la más vulnerable. Cabe destacar que el problema podría afectar también a los modelos más nuevos: Mk4, Mk5 y Q. El dispositivo generó automáticamente una nueva frase semilla, a partir de la cual se crearon cinco configuraciones diferentes de monederos:
1. Monedero estándar sin frase de contraseña adicional.
2. Monedero con contraseña de una palabra de la lista BIP39.
3. Monedero con contraseña de dos palabras BIP39.
4. Monedero con contraseña de tres palabras BIP39.
5. Monedero con un número de cuenta arbitrario (del 1 al 9999).
Para que las condiciones fueran idénticas, el investigador utilizó un estándar único de direcciones (bc1q), la misma ruta de derivación de claves, financió cada dirección con 10 800 satoshis y envió todos los fondos en una sola transacción. Un matiz técnico interesante: la exportación directa de las claves públicas al programa Sparrow provocó un fallo — el dispositivo dejó de responder a los comandos, por lo que los datos tuvieron que guardarse mediante archivos CSV en una tarjeta SD.
Resultados: robo instantáneo
Los resultados fueron impactantes, pero predecibles. El monedero base sin contraseña perdió su saldo casi al instante. En cuanto el investigador abrió el explorador de mempool, los fondos ya habían sido transferidos a una nueva dirección desconocida. Esto significa que los hackers habían cargado previamente las claves comprometidas en sus bots y esperaban el momento de la recarga.
Cole renunció deliberadamente al mecanismo RBF (Replace-By-Fee) para recuperar los fondos, con el fin de no alterar la pureza del experimento. Los otros cuatro monederos — con contraseñas y número de cuenta distinto de cero — permanecieron intactos. No obstante, el hecho de que la frase semilla sin protección adicional sea completamente vulnerable no deja lugar a dudas. El seguimiento de la actividad de las direcciones continúa en tiempo real.
Mi comentario: Este experimento es un recordatorio más de que incluso el hardware más fiable es inútil sin una correcta higiene de seguridad. El uso de la passphrase BIP39 no es solo una recomendación, sino una condición obligatoria para quienes almacenan cantidades significativas. Los hackers no rompen la criptografía; explotan la pereza humana y el descuido de las reglas básicas.