Por Canuto  

Una conversación de ARK Invest expuso cómo un modelo de inteligencia artificial ayudó a identificar una posible falla de entropía asociada con antiguos dispositivos Coldcard, mientras equipos comunitarios revisan miles de repositorios de Bitcoin y replantean la seguridad de la autocustodia.
***

  • Un equipo de investigadores vinculó de forma preliminar el movimiento de aproximadamente BTC 1.000 con dispositivos Coldcard Mark III de 2021 y una posible generación defectuosa de entropía.
  • Los participantes aseguraron que la falla no compromete el protocolo de Bitcoin, pero sí evidenció los riesgos de depender de un único dispositivo y una sola firma.
  • La IA está reduciendo el costo y el tiempo de las auditorías, aunque los hallazgos todavía necesitan validación por expertos y pruebas de concepto.

La inteligencia artificial está cambiando la velocidad con la que se descubren vulnerabilidades en el software, y el ecosistema Bitcoin recibió una demostración especialmente incómoda. En AI Just Broke A Bitcoin Wallet, una conversación difundida por ARK Invest reunió a participantes del sector para analizar un incidente que habría expuesto fondos asociados con antiguos dispositivos Coldcard, además de las consecuencias para la autocustodia, las auditorías y la seguridad futura de la red.

Según lo relatado durante la conversación, alrededor de BTC 1.000 se movieron a finales de julio desde un conjunto de usuarios que empleaban un proveedor específico de billeteras de hardware. La investigación posterior apuntó a un problema en la derivación de entropía del modelo Mark III, lanzado en 2021, que en determinados casos habría reducido drásticamente el espacio de números aleatorios utilizado para crear claves privadas. Sin embargo, informes públicos posteriores señalaron que todavía no existía evidencia definitiva que demostrara que el problema del Mark III hubiera causado todas esas transferencias.

La entropía es fundamental en una billetera de Bitcoin porque determina la imprevisibilidad de la semilla y, por extensión, de las claves que controlan los fondos. Los participantes describieron un escenario en el que errores del firmware habrían generado cerca de 32 bits de entropía en lugar de un espacio comparable con el universo de posibilidades asociado a una clave de 256 bits, una diferencia que vuelve viable la búsqueda mediante hardware de consumo.

Una falla específica, no una ruptura de Bitcoin

Rob Hamilton, director ejecutivo de Anchorwatch, explicó que el problema no parecía corresponder a un ataque remoto contra cientos de dispositivos, sino a una debilidad común en un subconjunto de billeteras. La hipótesis tomó fuerza cuando usuarios comenzaron a informar movimientos no autorizados en distintas comunidades digitales, poco después de que los fondos empezaran a salir de las direcciones afectadas.

Hamilton contó que utilizó modelos de inteligencia artificial para revisar el código del firmware y observó diferencias importantes entre sistemas de acceso restringido y un modelo de pesos abiertos identificado en la conversación como Kimmy K3. Mientras algunas herramientas se negaban a entregar detalles por sus controles de ciberseguridad, el modelo abierto produjo, según su relato, un informe directo sobre la posible vulnerabilidad.

La revisión no implicó que una inteligencia artificial hubiera roto la criptografía de Bitcoin ni que el algoritmo de firmas utilizado por la red hubiera dejado de funcionar. De hecho, los participantes afirmaron que equipos independientes habían invertido decenas de miles de dólares en revisar libsecp, una biblioteca criptográfica fundamental para Bitcoin, sin encontrar una falla catastrófica en el protocolo.

El riesgo se concentró en usuarios que empleaban la entropía predeterminada de un dispositivo afectado, mantenían una sola firma y dependían de un único punto de custodia técnica. Quienes utilizaban configuraciones multifirma, dispositivos de distintos proveedores o procedimientos de respaldo pudieron reducir la posibilidad de una pérdida total, una conclusión que los panelistas presentaron como una lección sobre diversificación y no como una condena general de la autocustodia.

La IA convierte la auditoría en un proceso continuo

Antes de la expansión de estos modelos, una auditoría profunda podía requerir semanas o meses, además de decenas o cientos de miles de dólares, dependiendo del tamaño del proyecto. La conversación describió un cambio radical: equipos pequeños ahora pueden ejecutar revisiones preliminares en un día y repetirlas con cada modificación del código, aunque todavía necesitan especialistas capaces de distinguir un hallazgo real de un falso positivo.

Seth, quien mantiene software de billeteras, explicó que su equipo comenzó a incorporar modelos locales para revisar cada solicitud de cambios, validar dependencias y examinar periódicamente los repositorios completos. Para ello, dijo que habían invertido aproximadamente USD 40.000 en equipos NVIDIA DGX Spark, con el objetivo de mantener los datos y los posibles exploits dentro de sus propias instalaciones.

El uso local ofrece ventajas adicionales frente a los servicios externos, porque evita límites de consumo, cambios inesperados de precios y el envío de información sensible a proveedores que el equipo no controla. Sin embargo, ejecutar modelos internamente no elimina la necesidad de supervisión humana: los desarrolladores deben confirmar que una vulnerabilidad puede reproducirse en un entorno real y que la corrección no introduce nuevos problemas.

Los participantes describieron el proceso como una especie de sistema inmunológico para el software. La inteligencia artificial identifica señales anómalas con rapidez, mientras los expertos en el dominio aportan contexto, construyen arneses de prueba y descartan caminos de investigación que no conducen a un ataque viable, una combinación que puede dar ventaja a los defensores frente a atacantes con menos conocimiento del producto.

El nuevo equilibrio entre atacantes y defensores

La reducción del costo de inferencia permite que un actor malicioso analice grandes cantidades de código con una inversión mucho menor que en el pasado. Esa democratización preocupa especialmente en Bitcoin, porque una vulnerabilidad que permite mover fondos puede generar una recompensa inmediata, sin que el atacante tenga que vender el descubrimiento en mercados clandestinos de exploits de día cero.

Los panelistas señalaron que esta dinámica también puede favorecer a quienes protegen los sistemas. Los desarrolladores conocen la arquitectura, las restricciones operativas y el modelo de amenazas de sus propios productos, por lo que pueden diseñar instrucciones y pruebas más precisas que un atacante externo que apenas comienza a estudiar el código.

El principal desafío será evitar que la velocidad de los modelos produzca una avalancha de reportes imprecisos. Un hallazgo automatizado no demuestra por sí mismo que exista una vía de explotación, y aplicar parches a cada alerta sin validación puede crear una capa de código innecesaria, similar a una reacción defensiva que termina dañando al propio sistema.

La discusión también cuestionó la diferencia entre modelos abiertos y cerrados. Los participantes sostuvieron que los laboratorios privados pueden tener capacidades técnicas superiores, pero sus filtros de seguridad a veces impiden compartir información detallada, mientras que los modelos abiertos pueden ofrecer respuestas más directas, aunque eso también aumenta el riesgo de uso ofensivo.

Autocustodia, distribución y próximos riesgos

El incidente reavivó el debate sobre si los usuarios deberían mantener sus BTC en una billetera propia, utilizar un custodio, comprar un fondo cotizado o combinar varias alternativas. La conclusión de la conversación fue que no existe una solución universal, porque cada persona y cada empresa deben equilibrar liquidez, privacidad, seguridad física, complejidad operativa y confianza en terceros.

La multifirma con dispositivos de distintos fabricantes puede reducir el riesgo de que una sola vulnerabilidad provoque una pérdida completa. Al mismo tiempo, multiplica los desafíos logísticos relacionados con la compra, el envío, la identificación del cliente y el almacenamiento físico de cada dispositivo, por lo que una arquitectura técnicamente sólida puede resultar difícil de implementar para usuarios sin experiencia.

Los participantes también advirtieron que el problema no termina en las billeteras de hardware. La inteligencia artificial llegará a sitios bancarios, plataformas tributarias, redes sociales y sistemas de custodia, aunque robar activos en esos entornos puede ser más complejo por la existencia de controles, listas negras, intermediarios y procedimientos de recuperación.

La conversación conectó este episodio con la amenaza de la computación cuántica, aunque aclaró que el incidente de Coldcard habría involucrado una mala entropía y capacidad de cómputo clásica, no una máquina cuántica. La experiencia sirvió como analogía de un escenario en el que una transacción vulnerable podría atraer ataques durante su paso por el mempool, una posibilidad que refuerza la necesidad de investigar esquemas de firma resistentes a futuros avances.

Los participantes mantuvieron una visión optimista sobre Bitcoin y sostuvieron que la comunidad puede responder mediante revisiones abiertas, equipos voluntarios, mantenimiento constante y mayor diversidad de herramientas. También afirmaron que algunos hallazgos guiados por inteligencia artificial ya habían ayudado a desarrollar cambios en Bitcoin Core, aunque el fortalecimiento de la seguridad dependerá de validar cuidadosamente cada descubrimiento antes de incorporarlo.

La lección central no es que Bitcoin haya sido quebrado, sino que el código antiguo, los dispositivos heredados y la confianza excesiva en configuraciones estáticas pueden crear riesgos que permanecen ocultos durante años. En un entorno donde la IA analiza software a una velocidad inédita, la autocustodia tendrá que pasar de la lógica de configurar y olvidar a un modelo de vigilancia, actualización y evaluación permanente.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados