Es probable que a esta altura ya hayas escuchado que un hacker robó estos días más de 2.000 bitcoins (equivalentes a más de 100 millones de dólares) de billeteras creadas con dispositivos Coldcard. Aunque todavía se está determinando el alcance total del ataque, sabemos que miles de direcciones quedaron expuestas y que los fondos fueron extraídos sin que el atacante necesitara tocar los dispositivos.
No es el mayor robo de bitcoins de la historia. En 2014, la ya desaparecida plataforma Mt. Gox declaró la pérdida de unos 850.000 bitcoins. Pero aquel era un custodio centralizado: una empresa que guardaba las monedas de sus clientes. En este caso, en cambio, fueron comprometidas billeteras de autocustodia generadas con uno de los dispositivos especializados más reconocidos del ecosistema.
Las hardware wallets son pequeños dispositivos creados para generar y proteger las claves necesarias para utilizar bitcoin. Aunque a veces se las compara con un pendrive por ser visualmente similares, no guardan bitcoins en su interior ya que los bitcoins siempre están registrados en la red. Lo que protegen son las claves que permiten moverlos.
Son una de las herramientas más utilizadas para practicar la tan promovida autocustodia. En términos argentinos, sería algo parecido a guardar el dinero debajo del colchón en vez de en el banco, con una diferencia fundamental: en lugar de custodiar billetes, custodiamos una clave matemática. Sin embargo, todo esto se puso en tela de juicio con el reciente robo.
Impacto, cataclismo, oportunidad
El caso Coldcard produjo un impacto inmediato en la comunidad. Especialistas, empresas y divulgadores pidieron a los usuarios que revisaran sus dispositivos, actualizaran el firmware y, cuando correspondiera, trasladaran sus fondos a una nueva billetera generada de manera segura. Otros fabricantes comenzaron a revisar sus propias políticas y sistemas de generación de claves. También apareció una sombra de duda sobre la seguridad de Bitcoin y de la autocustodia.
Pero el impacto no significa cataclismo. Bitcoin continúa funcionando con las mismas reglas y garantías de siempre. No fue vulnerada su criptografía, no se rompió la blockchain ni alguien encontró la manera de adivinar cualquier clave privada. Lo que falló fue un producto concreto utilizado para generar determinadas claves.
Como fundador de la ONG Bitcoin Argentina y creador de LABITCONF, la conferencia sobre Bitcoin y blockchain más antigua del mundo, considero que no debemos desaprovechar lo que este incidente puede enseñarnos. Especialmente este año, en el que el concepto central de LABITCONF es “HODL”, es decir guardar bitcoin para el futuro, pero también aprender, comprender y defender aquello en lo que uno cree.
Qué es la entropía
La palabra “entropía” puede sonar complicada, pero en este contexto significa elegir un número de manera verdaderamente impredecible. La seguridad de una billetera de Bitcoin comienza con algo tan simple como eso: una clave generada de forma aleatoria que permite acceder a los fondos. Cuanto más amplio e impredecible sea ese proceso, menor es la posibilidad de que alguien pueda obtener la misma combinación. Por eso, las computadoras utilizan mecanismos de generación de aleatoriedad para crear claves que resulten prácticamente imposibles de adivinar.
El caso de Coldcard demuestra la importancia de ese proceso. Un error de su software redujo el espacio de posibilidades utilizado para generar algunas claves, debilitando la seguridad esperada del sistema. El resultado seguía pareciendo aleatorio para una persona que observaba las palabras, pero no era suficientemente impredecible frente a un atacante con capacidad técnica y computacional.
El incidente recuerda que la protección de los fondos no depende únicamente del tipo de billetera utilizada, sino también de que cada componente técnico detrás de ella funcione correctamente.
Se confirmó que las semillas generadas por algunos dispositivos de Coldcard tenían aproximadamente sólo 40 a 72 bits de entropía. Siguen representando billones de posibilidades y no es algo que una persona pueda probar manualmente, pero ya no están frente al espacio astronómico originalmente prometido.
Un atacante con suficiente equipo y tiempo pudo crearlas todas y, sin hackear el dispositivo ni conocer a su dueño, sacar los fondos usando las llaves generadas. Ese es el aspecto más inquietante de este caso: las billeteras fueron vulneradas sin acceso a ellas.
Pero como muchos usuarios de bitcoin entienden de autocustodia y han agregado palabras adicionales (llamadas passphrase) a su listado, algunos fondos quedaron protegidos ya que el atacante debería explorar por cada una de las billeteras una infinidad de combinaciones aleatorias de números y letras adicionales.
Exchange o autocustodia
La primera conclusión no debería ser que la autocustodia fracasó ni que es preferible entregar nuestros bitcoins a una empresa bajo una contraseña y clave de acceso.
Quien deja sus fondos en un exchange confía plenamente en esa empresa: no solo en su capacidad de guardar los bitcoin seguros sino sobre todo en su solvencia, sus empleados, sus sistemas, sus regulaciones y su voluntad de devolver el dinero.
Pero fue una llamada de atención a quienes utilizan hardware wallets, pues confían parcialmente en el fabricante, en su código, en sus componentes y en los procedimientos utilizados para generar las claves.
Bitcoin es lo único realmente escaso que existe en el mundo digital y este llamado de atención es una oportunidad para entender más sobre cómo custodiarlo para el futuro.
Entender cómo agregar entropía manual, usar multifirmas seguras, armar passphrases indescifrables y asegurar la herencia en caso de muerte son algunos de los temas que se aprenden en LABITCONF y que la ONG Bitcoin Argentina explica en sus clínicas personalizadas y streams de autocustodia.
La autocustodia no consiste solamente en evitar que otro guarde nuestro bitcoin, consiste en asumir la responsabilidad de comprender cómo lo estamos guardando, cómo se genera una billetera, cómo se respalda, cómo se verifica una dirección, cómo se actualiza un dispositivo, cómo se recuperan los fondos y qué ocurrirá si nosotros faltamos.
Lo que el hacker enseñó
Este hacker causó pérdidas enormes y un daño real a miles de personas y por eso no merece reconocimiento o gratitud. Pero el ataque dejó al descubierto verdades que la comunidad no debería ignorar:
• Nadie hackeo a Bitcoin como sistema.
• Bitcoin en autocustodia sigue siendo seguro a pesar de que una herramienta o servicio haya fallado.
• Una billetera, aunque esté desconectada, puede estar comprometida desde su creación.
• Que el código abierto, aunque permite auditar, no garantiza que alguien haya encontrado todos los errores.
• Que la reputación de una empresa nunca reemplaza la verificación.
HODL no es cerrar los ojos y conservar una moneda durante muchos años. HODL es aprender lo suficiente como para saber qué y cómo lo estamos defendiendo. Es construir una convicción, pero también adquirir las herramientas necesarias para protegerla. Porque en Bitcoin, tener libertad significa también aceptar la responsabilidad que viene con ella.
