Un fallo en varias generaciones de los monederos físicos Coldcard redujo de forma drástica la aleatoriedad empleada para crear las semillas de recuperación de Bitcoin. El problema no permitía leer directamente una clave guardada en el dispositivo, pero abría una vía igual de peligrosa: probar por fuerza bruta un conjunto de combinaciones mucho menor de lo previsto hasta localizar una cartera real.
El incidente afecta a semillas creadas con determinadas versiones del firmware desde 2021. Ya existen actualizaciones para los modelos implicados, aunque hay una diferencia fundamental entre corregir el generador y proteger una cartera antigua: instalar el nuevo firmware no repara una semilla que ya nació con poca entropía. En ese caso hay que crear otra y trasladar los fondos con cuidado.
El azar criptográfico que no era tan imprevisible
Una cartera de Bitcoin se apoya en una clave privada y, normalmente, en una lista de palabras que permite recuperarla. La seguridad no depende de que esas palabras parezcan extrañas, sino de que hayan sido seleccionadas dentro de un espacio tan grande y aleatorio que resulte inviable recorrerlo. Un monedero físico mantiene ese material fuera del ordenador conectado a Internet, pero antes debe generarlo correctamente.
En Coldcard, una modificación introducida durante la integración de una biblioteca criptográfica hizo que la creación de semillas terminara usando el generador pseudoaleatorio de reserva de MicroPython. El firmware incluía también el generador físico previsto, pero la ruta concreta que producía las palabras llegaba a la implementación equivocada. Ambas funciones tenían una interfaz similar, de modo que la compilación y revisiones anteriores no detectaron el cruce.
El resultado fue especialmente grave en Mk2 y Mk3: el espacio de búsqueda efectivo se ha estimado en unos 40 bits, frente a los 128 bits esperados. En Mk4, Mk5 y Q se mezclaban datos adicionales de elementos seguros, elevando la estimación a unos 72 bits, pero sin alcanzar el objetivo. Una clave de 40 bits puede explorarse con recursos informáticos actuales; una de 128 bits queda fuera de un ataque práctico.
Modelos y versiones que deben revisarse
El dato importante no es cuándo se compró el dispositivo, sino qué firmware ejecutaba en el momento de crear la semilla. Las correcciones disponibles quedan resumidas así:
| Modelo | Semillas afectadas | Versión corregida |
|---|---|---|
| Mk2 y Mk3 | Firmware 4.0.1 a 4.1.9 | 4.2.0 o posterior |
| Mk4 y Mk5, canal estable | Anteriores a 5.6.0 | 5.6.0 o posterior |
| Q, canal estable | Anteriores a 1.5.0Q | 1.5.0Q o posterior |
| Mk4 y Mk5, canal Edge | Anteriores a 6.6.0X | 6.6.0X o posterior |
| Q, canal Edge | Anteriores a 6.6.0QX | 6.6.0QX o posterior |
Los productos TAPSIGNER, OPENDIME y SATSCARD no comparten el código afectado. También existe una excepción para quien añadiera al menos 50 tiradas privadas, independientes y justas de un dado al generar originalmente las palabras. Esas tiradas aportaron suficiente aleatoriedad externa. Si no se recuerda con certeza haber realizado 50 o más tiradas, lo prudente es considerar afectada la semilla.
Por qué actualizar no basta
La actualización cambia la forma de generar futuras semillas, no las palabras existentes. Estas continúan representando exactamente la misma clave y conservan el espacio reducido del que salieron. Una frase de paso BIP39 fuerte, única y almacenada por separado crea una barrera adicional, pero tampoco transforma la semilla original. El PIN del dispositivo no desempeña esa función.
Las primeras estimaciones técnicas del incidente situaron las pérdidas por encima de los 1.000 BTC, una cifra provisional en una investigación todavía abierta. Los movimientos no requieren robar el aparato ni infectar el ordenador del propietario: el atacante puede generar candidatos en sus propios equipos, calcular las direcciones correspondientes y buscar cuáles contienen fondos visibles en la cadena de bloques. El ataque se realiza fuera de línea y deja pocas señales hasta que aparece una transacción no autorizada.
Cómo trasladar los fondos sin añadir otro riesgo
Quien tenga una cartera potencialmente afectada debe actuar con serenidad y verificar cada paso. Primero hay que instalar en el dispositivo la versión corregida que corresponda a su modelo y canal. Después se crea una semilla completamente nueva, se anota la copia de seguridad y se comprueban tanto la huella de la cartera como una dirección de recepción en la propia pantalla del Coldcard.
Antes de mover el saldo completo conviene enviar una cantidad pequeña y confirmar que llega a la nueva cartera. Solo entonces se traslada el resto. La copia antigua debe mantenerse hasta que todas las operaciones estén confirmadas, porque destruirla antes de tiempo podría convertir un error durante la migración en una pérdida irreversible. Las palabras y cualquier frase de paso nunca deben introducirse en una web, fotografiarse o guardarse en un servicio conectado.
La lección no es que un monedero físico haya dejado de ser útil, sino que estar desconectado no compensa una generación defectuosa de claves. El aislamiento protege frente a muchas amenazas cotidianas, mientras que las actualizaciones, las copias verificadas y una migración bien hecha siguen siendo necesarias cuando falla la base criptográfica del sistema.
