Coldcard... Alerta, error de firmware!

[famososMuertos]

Como saben se detecta un fallo en estos dispositivos, si bien está información aparece en news, dejamos la información del caso para discusiones y precauciones según corresponde.

Hilo en el norte:
https://bitcointalk.org/index.php?topic=5589927.0

Lo que se sabe.
Modelos y versiones afectados  
Coldcard Mk3: Versiones de firmware desde la 4.0.1 en adelante (hasta la 5.0.3, que es la última para ese modelo).  
Mk4 y Mk5: Versiones anteriores a la 5.6.0.  
Modelos Q: Versiones anteriores a la 1.5.0Q.

Fuente: Coinkite

¿En qué consiste el problema?

El fallo: Se detectó una debilidad en cómo el dispositivo generaba las palabras de recuperación en versiones afectadas.

En lugar de utilizar una aleatoriedad de hardware completamente impredecible, en ciertos firmwares se redujo la entropía (la fuerza de la clave), lo que teóricamente facilitaría a un atacante adivinar la clave privada bajo ciertas circunstancias de escaneo masivo

Coinkite:
https://blog.coinkite.com/coldcard-mk3-seed-generation-warning/

[LUXSOS]

graves las vulnerabilidades que se encontraron, existe un reporte de cuantos bitcoin se perdieron por esta vulnerabilidad?

[Artemis3]

Ya van mas de mil. Si tienes una, saca inmediatamente todo el dinero para otra wallet. No usar coldcard.

Fue una inconsistencia en su código respecto al generador de números aleatorios, cosa que fue descubierta por un tercero y aprovechada para robar.

Lamentablemente llegamos a una era en la que, todos los proyectos de código abierto, si o si, deben lanzarles IA para descubrir vulnerabilidades. Ya no podemos esperar a que lo hagan humanos, porque los atacantes están haciendo lo mismo.

En estos días a Linux (el kernel) le parchearon mas de 400 fallos de seguridad, usando la misma metodología de ayuda con IA.

[Hispo]

Llevo siguiendo esta noticia desde que se dió a conocer y debo decir que es uno de los golpes más grandes que se ha llevado la comunidad de Bitcoin en mucho tiempo, especialmente la comunidad del almacenamiento en frío.
Van más de mil Bitcoins robados, y esto ha destrozado los planes a futuro de miles de personas.

He visto a maximalistas de BTC rindiendose luego de ver todos sus años de esfuerzos irse de sus manos por la mala implementación de un generador de números aleatorios y debo decir que todo esto es devastador.

No estamos hablando de shitcoins o de tokens de dudosa procedencia, esto fue una estocada a los holders a largo plazo que pensaron que estaban sentados en la seguridad mas grande que se puede comprar para sus bitcoin.

Ustedes no se imaginan el trasfondo. Todo esto empezó porque el creador de Coldcard vio que estaba usando su código abierto para desarrollar las billeteras Pasaport, a el no le gustó eso y decidió (en su arrogancia, cambiar la licencia de su código abierto para que no puede usar su software en otros productos. Ese sería su final, ya se al hacerlo, tuvo que cambiar el RNG a otro que literalmente les fallo.

Grave todo esto.
Seguiré comentando de tanto en tanto...

[darbitmobilerecovery]

Llevo siguiendo esta noticia desde que se dió a conocer y debo decir que es uno de los golpes más grandes que se ha llevado la comunidad de Bitcoin en mucho tiempo, especialmente la comunidad del almacenamiento en frío.
Van más de mil Bitcoins robados, y esto ha destrozado los planes a futuro de miles de personas.

Es que es realmente un palazo durisimo para la comunidad en general, porque siempre se dijo que el almacenamiento en frio era la garantia total de no tener jamas un problema y esto viene a hacer un agujero a la narrativa, por mas que sepamos que paso y que fue un "error" en el generador aleatorio y demas, las perdidas a los que les paso esto y el miedo que genera a un enorme universo de gente a futuro es un tema a tratar seriamente.

Yo se que muchos maximalistas van a seguir diciendo que no pasa nada y bla bla porque en teoria tiene razon, el problema es que en la calle y la gente comun y corriente para generar adopción con la teoria sola no alcanza, tenes que demostrar que el riesgo es "0", y esta noticia solo muestra que el riesgo esta ahi y no tenes seguro que te reembolse nada. Es pésima prensa esto.

Veremos que tanto impacto sigue teniendo, por ahora igual lo veo contenido y a la opinion publica no muy interesada. Lo cual en este caso es bueno.

[JoSerra]

Hola

Acordándome de ese refrán español "Cuando veas las barbas de tu vecino rapar..."
Como novato me surge la pregunta obvia ante este suceso: ¿ podría ocurrir lo mismo que ha sucedido con la Coldcard a otros dispositivos de otros fabricantes?

Los fabricantes de billeteras frías pasan algún test de seguridad de algún tipo ?
Con las IA detectando agujeros de seguridad en sistemas operativos, protocolos, etc ¿ que grado de confianza pueden ofrecer ?

Saludos

[Filicius]

Hace un par de días que leo en el apartado de noticias esta cuestión y es muy grave ya no por los mil bitcoins, que también, sino por lo que comentabais de expectativas frustradas. Y es que es cierto que desde aquí se ha dicho siempre que ser tu propio banco conlleva una responsabilidad adicional pero las herramientas disponibles para el almacenamiento en frío venían a mitigar muchas de las molestias de la auto custodia… hasta que pasan estas cosas.

JoSerra, respondiendo a tu pregunta, no tengo una respuesta pero visto lo visto ya no confiaría en un solo proveedor y repartiría mis monedas en dispositivos diferentes. Aunque ya no es solo una cuestión de vulnerabilidad de wallets, por lo que comentábais de la IA, sino de todo tipo de código.

[Don Pedro Dinero]

Los fabricantes de billeteras frías pasan algún test de seguridad de algún tipo ?

Podría, pero es extremadamente improbable, y más si es uno de los grandes, como Trezor o Ledger, y más ahora que ha pasado esto.

JoSerra, respondiendo a tu pregunta, no tengo una respuesta pero visto lo visto ya no confiaría en un solo proveedor y repartiría mis monedas en dispositivos diferentes. Aunque ya no es solo una cuestión de vulnerabilidad de wallets, por lo que comentábais de la IA, sino de todo tipo de código.

Esto también depende mucho de cantidades. Si tenes 200$, con un HW te sobra. Si tienes 200.000$ en bitcoin mejor que lo tengas repartido en varios wallets, uses sistemas multisig, etc. Lo curioso de esto es que había debate sobre si los ordenadores cuánticos podrían representar una amenaza para bitcoin, o no, y esta vulnerabilidad la ha descubierto (según he visto) un chico joven de 20 o 21 años usando la IA Claude.

[darbitmobilerecovery]

Los fabricantes de billeteras frías pasan algún test de seguridad de algún tipo ?

Podría, pero es extremadamente improbable, y más si es uno de los grandes, como Trezor o Ledger, y más ahora que ha pasado esto.

No solo es que sea uno de los grandes si no tambien es que sean de los ""primeros"".

A que voy con esto, a la cuestion de que muchas cosas del mundo del BTC son creadas primeramente casi como hobby o para uso personal y despues van creciendo hast onvertirse en empresas, el tema es que al no existir regulacion de nada (logicamente) ni una autoridad global que verifique nada (que ademas casi iria en contra de la propia filosofia) solo queda la verificacion en manos de los propios individuos o demas gente de la comunidad que se tome el tiempo de ver que no haya nada, lo cual por un lado es excelente pero tambien puede fallar.

[danadc]

Ya van mas de $100M:

esto si que es un duro golpe a la seguridad, ¿ahora a quien le van a echar la culpa de este incidente?

Galaxy Research también identificó una sospechosa cuarta ola que podría llevar las pérdidas totales a 2.055 BTC, valoradas en aproximadamente 130 millones de dólares. Sin embargo, Galaxy dijo que excluyó el evento de su estimación confirmada porque aún no había recibido confirmación de las víctimas que se cree que forman parte de esa ola. El grupo de investigación dijo con “confianza media-alta” que la ola representaba en gran medida la actividad del atacante.

cointelegraph: https://cointelegraph.es/news/coldcard-bitcoin-theft-100-million-three-waves

esto es algo para todos no hacernos de la vista gorda,no ha lelgado bien la tecnologia cuantica con los ordenadores y no me quiero imaginar cuando empiecen las vulnerabilidades con eso,ya estan atacando cuando ven la menor de las seguridades.

[darbitmobilerecovery]

esto es algo para todos no hacernos de la vista gorda,no ha lelgado bien la tecnologia cuantica con los ordenadores y no me quiero imaginar cuando empiecen las vulnerabilidades con eso,ya estan atacando cuando ven la menor de las seguridades.

Igual si bien como bien comentas tenemos que tener la guardia alta respecto al tema de la computacion cuantica hay un hypeo innecesario a mi entender, a lo que voy es que en teoria ya esta resuelto el tema del cifrado postcuantico por lo cual en realidad no habria que preocuparse demasiado si no mas bien estar atentos a actualizarnos cuando el momento llegue.

Porque tampoco es bueno ahora despues de este tremendo palo que nos llevamos andar esparciendo mas pánico.