Coldcard Mk3: un experimento público demostró lo rápido que los hackers vacían cuentas desprotegidas
En el mundo de los monederos criptográficos de hardware, la seguridad no es solo una función, sino una cuestión de supervivencia de los fondos. Recientemente realicé mi propia investigación, que demuestra claramente lo peligrosa que puede ser la autocomplacencia de los propietarios de almacenamiento en frío. El foco de atención fue el popular Coldcard Mk3, un dispositivo que muchos consideran el estándar de protección. Mi experimento mostró que incluso una subestimación menor de las amenazas puede llevar a la pérdida instantánea de todos los activos digitales.
Generé una frase secreta en un Coldcard Mk3 con firmware versión 4.1.8 y creé cinco monederos diferentes, cada uno de los cuales recibió la misma cantidad en satoshis. El objetivo era comprobar con qué rapidez reaccionan los atacantes ante la aparición de nuevas direcciones potencialmente vulnerables en la red. Es importante destacar que el problema no solo afecta al Mk3, sino también a modelos más nuevos: Mk4, Mk5 e incluso Q.
Metodología y parámetros de la prueba
Para la pureza del experimento, todos los monederos tenían un estándar único de direcciones bc1q, la misma ruta de derivación de claves y fueron financiados con 10 800 satoshis cada uno. Solo difería la configuración de protección:
- Monedero n.º 1: estándar, sin frase de contraseña adicional.
- Monedero n.º 2: con contraseña de una palabra de la lista BIP39.
- Monedero n.º 3: con contraseña de dos palabras BIP39.
- Monedero n.º 4: con contraseña de tres palabras BIP39.
- Monedero n.º 5: con un número de cuenta arbitrario (del 1 al 9999).
Durante el proceso de configuración surgió un contratiempo técnico: la exportación de claves públicas al monedero Sparrow provocó un fallo y el dispositivo dejó de responder a los comandos. Tuve que recurrir a guardar archivos CSV en una tarjeta SD; esto, por cierto, es un recordatorio de que incluso los dispositivos de gama alta tienen sus caprichos.
Resultados: la velocidad del ataque es impactante
El resultado superó todas las expectativas. El monedero básico sin contraseña fue vaciado casi al instante. En cuanto abrí el explorador de mempool, los fondos ya habían sido transferidos a una nueva dirección desconocida. Esto significa que los hackers cargaron previamente las claves comprometidas en sus bots automatizados, que escanean la cadena de bloques en busca de objetivos tan "fáciles".
Los otros cuatro monederos, incluida la variante con número de cuenta, permanecieron intactos. Sin embargo, esto no es motivo de alegría: la propia frase secreta generada por el dispositivo se considera completamente vulnerable. La observación de la actividad de estas direcciones continúa en tiempo real.
Mi análisis: Este experimento es una clara confirmación de que un monedero de hardware sin una frase de contraseña sólida (frase de contraseña BIP39) es solo una pieza de metal bonita con una falsa sensación de seguridad. Los atacantes no hackean la criptografía; explotan la pereza y la falta de atención humana. Los propietarios de Coldcard y otros dispositivos de hardware deberían tomar esta prueba como una severa advertencia: la protección adicional mínima no es una recomendación, sino una condición obligatoria para almacenar cualquier cantidad significativa. De lo contrario, simplemente entregas tus monedas a manos de bots automatizados que trabajan más rápido de lo que tardas en parpadear.