Zeus Wallet ha desconectado su infraestructura después de mitigar un incidente de ciberseguridad, afirmando que no se han perdido ni puesto en riesgo fondos de clientes mientras completa una auditoría exhaustiva de sus sistemas antes de restaurar los servicios.
Zeus Wallet anunció el incidente en una actualización del 5 de agosto, diciendo que el ataque había sido contenido en cuestión de horas, pero que la infraestructura permanecería fuera de línea hasta que se completara una revisión exhaustiva de sus sistemas. La billetera autocustodia de la Red Lightning de Bitcoin afirmó que su investigación hasta ahora no ha encontrado evidencia de que el incidente se haya originado por una vulnerabilidad en el software del nodo Lightning.
El fundador Evan Kaloudis dijo en una publicación de blog de la compañía que los investigadores creen actualmente que el ataque se limitó a la propia infraestructura de Zeus. Añadió que la compañía no ha identificado ningún impacto en los fondos de los clientes y continúa auditando sus sistemas antes de volver a poner los servicios en línea.
No se ha proporcionado una línea de tiempo para la restauración de las operaciones.
Mientras la infraestructura permanezca no disponible, Zeus dijo que los clientes cuyos canales de Proveedor de Servicios Lightning (LSP) fueron cerrados durante el incidente recibirán canales de reemplazo una vez que los servicios se reanuden y las solicitudes puedan ser procesadas.
La compañía también pidió a los usuarios afectados que contactaran al soporte a través de la sección de ayuda de la billetera móvil Zeus, advirtiendo que los tiempos de respuesta podrían ser más largos de lo habitual debido al aumento de las solicitudes de soporte durante la interrupción.
Kaloudis dijo que el incidente ha reforzado el trabajo continuo de Zeus en entornos de ejecución confiables, también conocidos como enclaves, junto con el proyecto Validating Lightning Signer (VLS). Según la compañía, el diseño de infraestructura planificado tiene como objetivo mitigar esta categoría de ataque.
Aunque Zeus describió el incidente como un ataque de ciberseguridad, no reveló cómo los atacantes obtuvieron acceso ni si algún sistema interno fuera de su infraestructura se vio afectado.
La interrupción de la infraestructura se produce solo días después de que Zeus anunciara otro cambio de servicio que afectaba a los usuarios.
El lunes, la billetera dijo que deshabilitaría la funcionalidad de intercambio (swap) después de que el proveedor de intercambio de Bitcoin no custodiado Boltz suspendiera su propia plataforma hasta nuevo aviso. Zeus vinculó la decisión directamente al cierre de Boltz, aunque la suspensión del intercambio y el incidente de ciberseguridad se han anunciado por separado.
La compañía no ha indicado que los dos eventos estén conectados.
Por ahora, la prioridad actual de Zeus sigue siendo completar su auditoría interna antes de restaurar la infraestructura y procesar los canales Lightning de reemplazo para los clientes afectados.
El incidente de Zeus llega durante un período de revisiones de seguridad intensificadas en todo el ecosistema de Bitcoin tras los recientes ataques a las billeteras Coldcard.
A principios de esta semana, el desarrollador de Bitcoin Calle dijo que el Equipo Rojo de Bitcoin, dirigido por voluntarios, había comenzado a revisar billeteras de Bitcoin, librerías, software de infraestructura y otros proyectos de código abierto utilizando análisis asistido por IA combinado con verificación manual después del incidente de Coldcard.
Según los datos compartidos por el grupo, los revisores examinaron 390 repositorios relacionados con Bitcoin durante las primeras 29.8 horas de la iniciativa, identificando 4,962 posibles problemas de seguridad. El equipo clasificó 720 hallazgos como de gravedad alta o crítica, mientras informaba que el 21.4% de los problemas identificados ya se habían reproducido mediante verificación de seguimiento.
Calle dijo que varias vulnerabilidades críticas ya habían sido reveladas de forma privada a los mantenedores de los proyectos afectados, en lugar de ser publicadas, mientras se preparan las correcciones de software.
El esfuerzo voluntario incluye al CEO de AnchorWatch, Rob Hamilton, y otros contribuidores de Bitcoin. Calle también dijo que la iniciativa está consumiendo alrededor de $10,000 por día en costos de computación, con OpenSats financiando el esfuerzo y Kimi Moonshot proporcionando cuentas de IA y acceso a su modelo Kimi K3.
Las revisiones de seguridad se intensificaron después de que los investigadores vincularan robos recientes de Bitcoin a una falla en ciertas versiones de firmware de las billeteras de hardware Coldcard.
Como informó previamente crypto.news, Galaxy Research confirmó que los atacantes robaron 1,596 BTC de aproximadamente 7,300 direcciones en tres oleadas de ataque confirmadas. La firma de investigación también ha identificado una sospechosa cuarta oleada coordinada que involucra otros 448.7 BTC de 709 posibles direcciones de víctimas, aunque aún no ha añadido esas pérdidas a sus cifras confirmadas porque la verificación adicional de las víctimas sigue en curso.
Los investigadores han informado por separado que aproximadamente el 90% del Bitcoin robado no se ha movido on-chain. Al mismo tiempo, los analistas observaron a un atacante enrutando 64 BTC a través de un mezclador de Bitcoin, mientras que el atacante identificado más grande continúa reteniendo aproximadamente 1,159 BTC en siete direcciones.
Según el fabricante de billeteras de hardware Coinkite, la vulnerabilidad subyacente de Coldcard se originó por una modificación del firmware introducida en marzo de 2021 al integrar una nueva librería criptográfica. En lugar de depender del generador de números aleatorios de hardware previsto durante la creación de la billetera, las versiones de firmware afectadas utilizaban un generador pseudoaleatorio determinista proporcionado por MicroPython.
El equipo de ingeniería y seguridad de Bitcoin de Block llegó a la misma conclusión después de revisar independientemente el firmware. Aunque la compañía dijo que no había completado pruebas empíricas en todos los dispositivos afectados, su análisis encontró que el firmware vulnerable se basaba en el respaldo determinista durante la generación de la semilla en lugar del generador de números aleatorios de hardware STM32.
Desde entonces, Coinkite ha lanzado actualizaciones de firmware de emergencia para los dispositivos afectados, pero advirtió que instalar solo el software parcheado no protege las billeteras creadas con firmware vulnerable. En su lugar, se ha instruido a los usuarios a generar frases semilla completamente nuevas en dispositivos actualizados y transferir su Bitcoin a direcciones derivadas de esas nuevas billeteras.
La compañía añadió que las billeteras creadas originalmente usando al menos 50 tiradas de dados privadas no están afectadas por esta falla específica de generación de números aleatorios, aunque sigue recomendando la migración a semillas recién generadas.
