El fabricante de billeteras de hardware Ledger afirma que el reciente exploit de Coldcard debería servir como advertencia para la industria de las criptomonedas.

Según Charles Guillemet, CTO de Ledger, el incidente expuso debilidades en la forma en que algunos dispositivos, en este caso, billeteras de hardware de criptomonedas, generan aleatoriedad criptográfica, al tiempo que muestra cómo la inteligencia artificial está redefiniendo tanto los ciberataques como las defensas digitales.

"Estamos tratando esto como un serio recordatorio de cómo todo el modelo de seguridad de una billetera de hardware depende o perece de la aleatoriedad", dijo Guillemet a Decrypt. "La criptografía es difícil y su implementación segura es aún más difícil. El incidente de Coldcard de esta semana lo hizo visible de la manera más costosa posible".

Los comentarios surgen mientras las consecuencias del exploit de Coldcard siguen creciendo.

La semana pasada, Coinkite, fabricante de Coldcard, reveló una falla en la billetera de hardware de Bitcoin Coldcard con air-gap que se remonta a una versión de firmware de marzo de 2021. El error utilizaba un mecanismo de respaldo de software en lugar del generador de números aleatorios de hardware del dispositivo para crear semillas de recuperación de billetera, haciendo que algunas claves privadas fueran adivinables y permitiendo a los ladrones robar Bitcoin a los usuarios.

Hasta la fecha, las pérdidas han alcanzado aproximadamente los $130 millones, mientras que otros robos siguen bajo investigación. El domingo, Coinkite lanzó un firmware parcheado e instó a los usuarios afectados a mover los fondos a billeteras recién generadas.

Coinkite no respondió a la solicitud de comentarios de Decrypt para esta historia.

Ledger afirmó que sus propias billeteras de hardware no se vieron afectadas porque generan las frases de recuperación de manera diferente.

"Las billeteras de hardware de Ledger obtienen su secreto raíz (la Frase de Recuperación Secreta de 24 palabras) de un verdadero generador de números aleatorios de hardware integrado directamente en un Elemento Seguro certificado, sin ruta de respaldo de software", dijo Guillemet. "Ese generador produce los 256 bits completos de entropía para cada semilla".

Para Ledger, el incidente plantea preguntas más amplias sobre cómo se evalúa la seguridad de las billeteras de hardware.

"Código abierto y revisado no son lo mismo", dijo Guillemet. "Esta falla permaneció en el código público durante más de cinco años hasta que, según se informa, un adversario utilizó la IA para encontrarla, un recordatorio de que ser abierto y ser revisado son dos cosas diferentes".

Dijo que la IA está cambiando la ciberseguridad al permitir a los atacantes escanear código, buscar errores de configuración e identificar vulnerabilidades "a velocidad de máquina".

"Eso significa que la defensa tiene que moverse a la misma velocidad", afirmó. "Debe provenir de la seguridad por diseño, el hardware y las matemáticas".

En mayo, un investigador de seguridad que utilizaba Claude Opus 4.8 descubrió una vulnerabilidad de cuatro años que podría haber impulsado la acuñación ilimitada de Zcash, lo que provocó pánico a gran escala entre los inversores y una caída de Zcash de más del 40% en un solo día como respuesta.

Según Guillemet, Ledger afirma haber pasado los últimos dos años utilizando IA junto con ingenieros de seguridad y criptógrafos humanos para revisar el código e identificar vulnerabilidades antes de que los atacantes puedan explotarlas.

“Tampoco nos basamos solo en nuestra palabra”, explicó. “Nuestro laboratorio de investigación Donjon existe para intentar romper nuestros productos antes de que cualquier otra persona pueda hacerlo”.

Para mitigar riesgos futuros, Guillemet dijo que los usuarios que evalúen cualquier billetera de hardware deben comprender cómo genera aleatoriedad y si ese proceso ha sido certificado de forma independiente.

"La aleatoriedad debe provenir de la física, no de una fórmula", dijo. "Debe ser certificada por personas cuyo trabajo es intentar refutar esa afirmación, no solo por el vendedor".