Por Canuto  

Más de cuatro quintas partes del Bitcoin atribuido al hack de Coldcard seguirían sin moverse, mientras investigadores rastrean miles de direcciones y detectan técnicas de ofuscación en robos posteriores.

***

  • Galaxy Research vinculó 1.789,28 BTC y 8.865 direcciones con la explotación de Coldcard, según reportes sobre su análisis.
  • Unos 1.561 BTC, equivalentes al 87,3% del monto atribuido, permanecerían en direcciones asociadas con los atacantes.
  • La investigación apunta a una falla de firmware que habría reducido la aleatoriedad al generar algunas semillas de dispositivos afectados.

 

 

Más de 87% del Bitcoin (BTC) vinculado al hack de Coldcard seguiría inmóvil, pese a que los investigadores identificaron miles de direcciones relacionadas con el robo.

Según reportes sobre el análisis de Galaxy Research, la firma rastreó 1.789,28 BTC sustraídos de 8.865 direcciones, un volumen que valía USD $114,7 millones al momento de las pérdidas. Alex Thorn, jefe de investigación de Galaxy, habría estimado esos fondos en unos USD $138,8 millones a precios posteriores.

Del total atribuido, aproximadamente 1.561 BTC, equivalentes a 87,3%, seguirían sin gastarse en direcciones de recolección o retención asociadas con los atacantes. La inmovilidad conserva una parte importante del rastro en la cadena de bloques, aunque algunas oleadas posteriores ya incorporaron herramientas destinadas a dificultar la conexión entre los fondos robados y sus destinos finales.

La mayor parte de los fondos sigue identificada

Los datos combinan el análisis de direcciones realizado por Galaxy con información entregada directamente por víctimas, mientras los investigadores continúan ampliando el mapa de billeteras conectadas con la explotación. En las 8.865 direcciones identificadas, la pérdida mediana fue de 0,00152 BTC y la media alcanzó 0,20184 BTC, una diferencia que refleja la concentración de montos elevados en una parte reducida de los afectados.

El Bitcoin comprometido también habría permanecido inactivo durante largos periodos antes del robo. Galaxy calculó una inactividad mediana de 3,2 años y una media de 3,6 años, un patrón compatible con billeteras utilizadas para almacenamiento de largo plazo y no con cuentas destinadas a operaciones frecuentes.

Los reportes individuales recibidos por la firma muestran pérdidas más grandes entre quienes aportaron información directa. Galaxy recopiló 221 reportes que abarcan 790,72 BTC, equivalentes a 44,2% del total atribuido, con una pérdida mediana de 1,04272 BTC y una media de 3,57792 BTC por reporte.

Thorn aclaró que la mediana implica que al menos la mitad de las 221 víctimas que informaron perdió 1 BTC o más. El Bitcoin descrito en esos reportes permaneció inactivo durante una mediana de 3,25 años antes del robo, mientras el periodo medio de inactividad fue de 2,99 años.

El cálculo podría aumentar

La cifra identificada todavía podría no abarcar todas las pérdidas relacionadas con el incidente. Según Thorn, si se incorporan direcciones consideradas de confianza media, pero aún no confirmadas, la estimación subiría a aproximadamente 1.824 BTC, valorados en cerca de USD $140 millones al momento de los robos correspondientes.

Las estimaciones han cambiado a medida que los investigadores identifican direcciones adicionales de víctimas y reconocen nuevos patrones de ataque. Esta actualización no significa necesariamente que hayan aparecido fondos nuevos, sino que el trabajo forense habría permitido asociar más movimientos con el mismo incidente.

Reportes sobre la investigación vincularon los robos con un problema de firmware que debilitó la aleatoriedad utilizada para generar algunas semillas de Coldcard. De acuerdo con esas versiones, un error de configuración de compilación introducido mediante firmware en marzo de 2021 llevó a los dispositivos afectados a utilizar un generador de números aleatorios basado en software, en lugar de depender completamente de la entropía producida por el hardware.

Una menor entropía puede reducir de forma drástica el espacio de combinaciones que un atacante necesita explorar. Los investigadores sostuvieron que la debilidad podía permitir recuperar claves privadas mediante fuerza bruta sin tener acceso físico a la billetera, aunque la atribución final del incidente a un actor específico no quedó establecida.

CoinJoin y cadenas de desmembramiento

Las primeras oleadas identificadas permanecen completamente intactas, lo que ofrece a los investigadores un registro directo de los lugares donde se conserva buena parte de los fondos robados. En cambio, una fracción del Bitcoin sustraído durante ataques posteriores comenzó a moverse y mostró estructuras transaccionales más complejas.

Entre las técnicas detectadas aparece CoinJoin, un método que combina transacciones de varios participantes para dificultar la asociación entre entradas individuales y salidas concretas. Galaxy también observó cadenas de desmembramiento, conocidas como peel chains, en las que montos menores se separan repetidamente de un saldo mayor y se envían a nuevas direcciones, prolongando la ruta que deben seguir los investigadores.

Galaxy continúa monitoreando esos movimientos y compartió las direcciones identificadas con exchanges de criptomonedas, compañías de cumplimiento normativo y autoridades. Esa cooperación podría permitir que plataformas centralizadas reconozcan y eventualmente congelen fondos robados si los atacantes intentan depositarlos en servicios donde las cuentas o transacciones puedan ser intervenidas.

La falta de movimiento en las primeras oleadas resulta especialmente relevante porque el BTC correspondiente todavía no habría atravesado las técnicas de ofuscación observadas después. Los investigadores pueden vigilar las direcciones conocidas en busca de salidas, mientras que otros análisis también describieron una acumulación de la mayoría de los fondos en un número limitado de direcciones controladas por los atacantes.

Las diferencias entre las estructuras transaccionales de las distintas oleadas llevaron a los investigadores a plantear que podrían existir varios atacantes involucrados. Esa posibilidad debe entenderse como una hipótesis basada en patrones onchain y no como una identificación definitiva.

El problema de las semillas y la seguridad del hardware

El caso puso bajo escrutinio a Coldcard, una marca de billeteras de hardware orientada a la autocustodia de Bitcoin y a la firma de transacciones fuera de línea. Reportes sobre la empresa señalaron que Coinkite presentó en mayo la Coldcard MK5, la primera revisión de hardware de la línea principal MK desde la llegada de la MK4 en 2022, con un diseño de doble elemento seguro y componentes de dos fabricantes de chips.

La MK5 conservó los flujos de trabajo air-gapped y añadió una pantalla de vidrio Gorilla de mayor tamaño, botones físicos rediseñados y soporte NFC mejorado. Coinkite indicó que el dispositivo seguiría utilizando firmware de código abierto y mantendría su diseño exclusivo para Bitcoin, características que forman parte del enfoque de autocustodia de la marca.

El incidente, no obstante, se relaciona con la generación inicial de semillas y no con el acceso remoto a una billetera conectada. La advertencia de seguridad de Coldcard indica que actualizar el firmware por sí solo no repara una semilla afectada, por lo que los usuarios de dispositivos comprometidos tendrían que generar una semilla nueva en hardware seguro y transferir sus BTC a direcciones derivadas de ella.

La aleatoriedad es crítica porque las frases semilla determinan, en última instancia, las claves privadas que controlan los activos. Si la entropía utilizada para crear una semilla resulta insuficiente, un atacante con recursos computacionales puede concentrar la búsqueda en un rango reducido de combinaciones, eliminando parte de la protección que los usuarios esperan de una billetera de hardware.

Otros riesgos bajo revisión

Las billeteras de criptomonedas enfrentaron otros episodios de seguridad durante el verano, aunque con métodos de ataque diferentes. En julio, el equipo Donjon de Ledger demostró un ataque con láser contra una tarjeta-billetera de Tangem que podía restablecer su contraseña y potencialmente permitir la firma de transacciones.

Tangem respondió que el método requería la posesión física de la tarjeta, conocimientos especializados y equipos de laboratorio con un costo aproximado de USD $250.000. Esa exigencia distingue el escenario de una vulnerabilidad explotable remotamente, como la que los investigadores asociaron con la generación defectuosa de semillas en los dispositivos afectados de Coldcard.

También en julio, el investigador onchain ZachXBT cuestionó la idoneidad de las billeteras de hardware existentes para firmar transacciones críticas o custodiar grandes cantidades de criptomonedas. Sus comentarios constituyeron una evaluación personal y no estuvieron vinculados con evidencia de un nuevo compromiso de hardware en ese momento.

El foco principal de los investigadores sigue siendo el Bitcoin robado y su comportamiento en la cadena. Mientras Galaxy distribuye las direcciones confirmadas entre exchanges, firmas de cumplimiento y autoridades, los 1.561 BTC que continuarían inmóviles podrían ofrecer nuevas pistas si los atacantes intentan moverlos o convertirlos en otros activos.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados