Coldcard... Alerta, error de firmware!

[famososMuertos]

Como saben se detecta un fallo en estos dispositivos, si bien está información aparece en news, dejamos la información del caso para discusiones y precauciones según corresponde.

Hilo en el norte:
https://bitcointalk.org/index.php?topic=5589927.0

Lo que se sabe.
Modelos y versiones afectados  
Coldcard Mk3: Versiones de firmware desde la 4.0.1 en adelante (hasta la 5.0.3, que es la última para ese modelo).  
Mk4 y Mk5: Versiones anteriores a la 5.6.0.  
Modelos Q: Versiones anteriores a la 1.5.0Q.

Fuente: Coinkite

¿En qué consiste el problema?

El fallo: Se detectó una debilidad en cómo el dispositivo generaba las palabras de recuperación en versiones afectadas.

En lugar de utilizar una aleatoriedad de hardware completamente impredecible, en ciertos firmwares se redujo la entropía (la fuerza de la clave), lo que teóricamente facilitaría a un atacante adivinar la clave privada bajo ciertas circunstancias de escaneo masivo

Coinkite:
https://blog.coinkite.com/coldcard-mk3-seed-generation-warning/

[LUXSOS]

graves las vulnerabilidades que se encontraron, existe un reporte de cuantos bitcoin se perdieron por esta vulnerabilidad?

[Artemis3]

Ya van mas de mil. Si tienes una, saca inmediatamente todo el dinero para otra wallet. No usar coldcard.

Fue una inconsistencia en su código respecto al generador de números aleatorios, cosa que fue descubierta por un tercero y aprovechada para robar.

Lamentablemente llegamos a una era en la que, todos los proyectos de código abierto, si o si, deben lanzarles IA para descubrir vulnerabilidades. Ya no podemos esperar a que lo hagan humanos, porque los atacantes están haciendo lo mismo.

En estos días a Linux (el kernel) le parchearon mas de 400 fallos de seguridad, usando la misma metodología de ayuda con IA.

[Hispo]

Llevo siguiendo esta noticia desde que se dió a conocer y debo decir que es uno de los golpes más grandes que se ha llevado la comunidad de Bitcoin en mucho tiempo, especialmente la comunidad del almacenamiento en frío.
Van más de mil Bitcoins robados, y esto ha destrozado los planes a futuro de miles de personas.

He visto a maximalistas de BTC rindiendose luego de ver todos sus años de esfuerzos irse de sus manos por la mala implementación de un generador de números aleatorios y debo decir que todo esto es devastador.

No estamos hablando de shitcoins o de tokens de dudosa procedencia, esto fue una estocada a los holders a largo plazo que pensaron que estaban sentados en la seguridad mas grande que se puede comprar para sus bitcoin.

Ustedes no se imaginan el trasfondo. Todo esto empezó porque el creador de Coldcard vio que estaba usando su código abierto para desarrollar las billeteras Pasaport, a el no le gustó eso y decidió (en su arrogancia, cambiar la licencia de su código abierto para que no puede usar su software en otros productos. Ese sería su final, ya se al hacerlo, tuvo que cambiar el RNG a otro que literalmente les fallo.

Grave todo esto.
Seguiré comentando de tanto en tanto...

[darbitmobilerecovery]

Llevo siguiendo esta noticia desde que se dió a conocer y debo decir que es uno de los golpes más grandes que se ha llevado la comunidad de Bitcoin en mucho tiempo, especialmente la comunidad del almacenamiento en frío.
Van más de mil Bitcoins robados, y esto ha destrozado los planes a futuro de miles de personas.

Es que es realmente un palazo durisimo para la comunidad en general, porque siempre se dijo que el almacenamiento en frio era la garantia total de no tener jamas un problema y esto viene a hacer un agujero a la narrativa, por mas que sepamos que paso y que fue un "error" en el generador aleatorio y demas, las perdidas a los que les paso esto y el miedo que genera a un enorme universo de gente a futuro es un tema a tratar seriamente.

Yo se que muchos maximalistas van a seguir diciendo que no pasa nada y bla bla porque en teoria tiene razon, el problema es que en la calle y la gente comun y corriente para generar adopción con la teoria sola no alcanza, tenes que demostrar que el riesgo es "0", y esta noticia solo muestra que el riesgo esta ahi y no tenes seguro que te reembolse nada. Es pésima prensa esto.

Veremos que tanto impacto sigue teniendo, por ahora igual lo veo contenido y a la opinion publica no muy interesada. Lo cual en este caso es bueno.

[JoSerra]

Hola

Acordándome de ese refrán español "Cuando veas las barbas de tu vecino rapar..."
Como novato me surge la pregunta obvia ante este suceso: ¿ podría ocurrir lo mismo que ha sucedido con la Coldcard a otros dispositivos de otros fabricantes?

Los fabricantes de billeteras frías pasan algún test de seguridad de algún tipo ?
Con las IA detectando agujeros de seguridad en sistemas operativos, protocolos, etc ¿ que grado de confianza pueden ofrecer ?

Saludos

[Filicius]

Hace un par de días que leo en el apartado de noticias esta cuestión y es muy grave ya no por los mil bitcoins, que también, sino por lo que comentabais de expectativas frustradas. Y es que es cierto que desde aquí se ha dicho siempre que ser tu propio banco conlleva una responsabilidad adicional pero las herramientas disponibles para el almacenamiento en frío venían a mitigar muchas de las molestias de la auto custodia… hasta que pasan estas cosas.

JoSerra, respondiendo a tu pregunta, no tengo una respuesta pero visto lo visto ya no confiaría en un solo proveedor y repartiría mis monedas en dispositivos diferentes. Aunque ya no es solo una cuestión de vulnerabilidad de wallets, por lo que comentábais de la IA, sino de todo tipo de código.

[Don Pedro Dinero]

Los fabricantes de billeteras frías pasan algún test de seguridad de algún tipo ?

Podría, pero es extremadamente improbable, y más si es uno de los grandes, como Trezor o Ledger, y más ahora que ha pasado esto.

JoSerra, respondiendo a tu pregunta, no tengo una respuesta pero visto lo visto ya no confiaría en un solo proveedor y repartiría mis monedas en dispositivos diferentes. Aunque ya no es solo una cuestión de vulnerabilidad de wallets, por lo que comentábais de la IA, sino de todo tipo de código.

Esto también depende mucho de cantidades. Si tenes 200$, con un HW te sobra. Si tienes 200.000$ en bitcoin mejor que lo tengas repartido en varios wallets, uses sistemas multisig, etc. Lo curioso de esto es que había debate sobre si los ordenadores cuánticos podrían representar una amenaza para bitcoin, o no, y esta vulnerabilidad la ha descubierto (según he visto) un chico joven de 20 o 21 años usando la IA Claude.

[darbitmobilerecovery]

Los fabricantes de billeteras frías pasan algún test de seguridad de algún tipo ?

Podría, pero es extremadamente improbable, y más si es uno de los grandes, como Trezor o Ledger, y más ahora que ha pasado esto.

No solo es que sea uno de los grandes si no tambien es que sean de los ""primeros"".

A que voy con esto, a la cuestion de que muchas cosas del mundo del BTC son creadas primeramente casi como hobby o para uso personal y despues van creciendo hast onvertirse en empresas, el tema es que al no existir regulacion de nada (logicamente) ni una autoridad global que verifique nada (que ademas casi iria en contra de la propia filosofia) solo queda la verificacion en manos de los propios individuos o demas gente de la comunidad que se tome el tiempo de ver que no haya nada, lo cual por un lado es excelente pero tambien puede fallar.

[danadc]

Ya van mas de $100M:

esto si que es un duro golpe a la seguridad, ¿ahora a quien le van a echar la culpa de este incidente?

Galaxy Research también identificó una sospechosa cuarta ola que podría llevar las pérdidas totales a 2.055 BTC, valoradas en aproximadamente 130 millones de dólares. Sin embargo, Galaxy dijo que excluyó el evento de su estimación confirmada porque aún no había recibido confirmación de las víctimas que se cree que forman parte de esa ola. El grupo de investigación dijo con “confianza media-alta” que la ola representaba en gran medida la actividad del atacante.

cointelegraph: https://cointelegraph.es/news/coldcard-bitcoin-theft-100-million-three-waves

esto es algo para todos no hacernos de la vista gorda,no ha lelgado bien la tecnologia cuantica con los ordenadores y no me quiero imaginar cuando empiecen las vulnerabilidades con eso,ya estan atacando cuando ven la menor de las seguridades.

[darbitmobilerecovery]

esto es algo para todos no hacernos de la vista gorda,no ha lelgado bien la tecnologia cuantica con los ordenadores y no me quiero imaginar cuando empiecen las vulnerabilidades con eso,ya estan atacando cuando ven la menor de las seguridades.

Igual si bien como bien comentas tenemos que tener la guardia alta respecto al tema de la computacion cuantica hay un hypeo innecesario a mi entender, a lo que voy es que en teoria ya esta resuelto el tema del cifrado postcuantico por lo cual en realidad no habria que preocuparse demasiado si no mas bien estar atentos a actualizarnos cuando el momento llegue.

Porque tampoco es bueno ahora despues de este tremendo palo que nos llevamos andar esparciendo mas pánico.

[btc-marty]

Que locura lo que paso con coldcard. Lo estuve mirando algo estos días y me sigue sorprendiendo como se les pudo escapar algo asi...
Tan básico para un negocio como el de las billeteras.

He visto hasta tweet de gente diciendo que ya se les aviso que habia bugs con ese parche de 2021 que altero la forma de generar entropía de algunos modelos.







Yo no tenia nada ahi pero si que es un toque de atencion que pase esto...Por un lado me "alegro", a ver si el ecosistema y empresas especializadas mejoran.

De momento cambio de wallet (ya tenia la mosca detras de la oreja) y estoy pensando en usar dados, aunque para la empresa para la cambio tiene buena reputacion, codigo abierto, auditorias...Parece que toda precaución es poca.

[darbitmobilerecovery]

Que locura lo que paso con coldcard. Lo estuve mirando algo estos días y me sigue sorprendiendo como se les pudo escapar algo asi...
Tan básico para un negocio como el de las billeteras.

He visto hasta tweet de gente diciendo que ya se les aviso que habia bugs con ese parche de 2021 que altero la forma de generar entropía de algunos modelos.

Esto que mencionas cambia bastante el panorama respecto a los dueños y el comportamiento de la empresa, eso ya no es un error es ser un reverendo sorete una basura total, y digo mas se que va a sonar muy duro pero porque no sospechar de que ellos siempre lo supieron y tan solo estaban esperando en algun momento hacer uso de esa debilidad y robarles a sus primero clientes?

Se que suena loco pero solo imaginen la cantidad inmensa de fondos que son.....

Con esto que mostras se abren muchas puertas a especular y de no ser ciertas ninguna igual e merecen lo peor por haber hecho oidos sordos.

[Don Pedro Dinero]

Con esto que mostras se abren muchas puertas a especular y de no ser ciertas ninguna igual e merecen lo peor por haber hecho oidos sordos.

La especulación ya está en marcha. Para empezar es bastante raro que se hayan consolidados todos los bitcoins robados en una misma dirección. Hay quien apunta a que esto es para hacer perder la confianza en la autocustodia y que algo tiene que ver con la guerra entre BIP-110 y Core, que tendrá su fase inicial el sábado.

Por otra parte, hubo un forero en el norte que ya avisó hace un par de años pero nadie le hizo mucho caso, sin embargo el tiempo le ha dado la razón.

nvK c0inkite c0ldacrd is Anti-OpenSource nutcase

Le dejó un red tag a la cuenta que el desarrollador tenía en el foro (y ha añadido otro hace poco).

[darbitmobilerecovery]

Con esto que mostras se abren muchas puertas a especular y de no ser ciertas ninguna igual e merecen lo peor por haber hecho oidos sordos.

La especulación ya está en marcha. Para empezar es bastante raro que se hayan consolidados todos los bitcoins robados en una misma dirección. Hay quien apunta a que esto es para hacer perder la confianza en la autocustodia y que algo tiene que ver con la guerra entre BIP-110 y Core, que tendrá su fase inicial el sábado.

Por otra parte, hubo un forero en el norte que ya avisó hace un par de años pero nadie le hizo mucho caso, sin embargo el tiempo le ha dado la razón.

nvK c0inkite c0ldacrd is Anti-OpenSource nutcase

Le dejó un red tag a la cuenta que el desarrollador tenía en el foro (y ha añadido otro hace poco).

Gracias don pedro por compartirlo, si encima e un usuario muy conocido del foro el que lo marco.

Ademas de que es realmente una basura total por lo que comenta rapidamente dk en ese posteo, se ve que esta en USA todo o tiene ramas por ahi porque le envio un cese y desista para extorsionarlo, realmente llevar una discusión casi filosofica (entre codigo abierto y cerrado) a una judicial marca el tipo de persona que sos, y la verdad es que cada segundo que pasa me puedo esperar cualquier cosa de esta gente ahora.

Si eso de que todos vayan a una sola billetera es raro pero bueno tampoco despeja del todo que sean unos hackers que las esten teniendo ahi para despues mixear bien todo y tan solo se apuraron a sacar lo mas que podian en esta primer etapa.


Respecto a lo del BIP110 no termino de ver la relacion y por lo poco que lei me parece mas una excusa para no ejecutarlo de momento dada su bajo nivel de aceptacion mas que otra cosa. Pero decime si estoy errado y se me escapa algo.

[Don Pedro Dinero]

Respecto a lo del BIP110 no termino de ver la relacion y por lo poco que lei me parece mas una excusa para no ejecutarlo de momento dada su bajo nivel de aceptacion mas que otra cosa. Pero decime si estoy errado y se me escapa algo.

Yo no estoy muy puesto en el tema pero vi un vídeo en que el autor relacionaba a Core con las grandes empresas como Strategy con Core y BIP110 con el pueblo. En el foro no es muy popular BITP110 por lo que hemos podido ver, pero es que aquí también tenemos a Greg Maxwell, forero mítico desarrollador de Core.

Aquí está el vídeo:
 
Is The Coldcard Disaster A State-Level Attack?

[darbitmobilerecovery]

Respecto a lo del BIP110 no termino de ver la relacion y por lo poco que lei me parece mas una excusa para no ejecutarlo de momento dada su bajo nivel de aceptacion mas que otra cosa. Pero decime si estoy errado y se me escapa algo.

Yo no estoy muy puesto en el tema pero vi un vídeo en que el autor relacionaba a Core con las grandes empresas como Strategy con Core y BIP110 con el pueblo. En el foro no es muy popular BITP110 por lo que hemos podido ver, pero es que aquí también tenemos a Greg Maxwell, forero mítico desarrollador de Core.

Aquí está el vídeo:
 
Is The Coldcard Disaster A State-Level Attack?

Por lo poco que estuve viendo el BIP110 no es popular en ningun lado y por eso venia mi pregunta ya que segun lei rapidamente tan solo un 2.8% de los nodos lo iban a aplicar un completo desastre, basicamente los dejaron muy solos y me parece que este problema les vino como anillo al dedo para postergarlo y tal vez que nunca sea aplicado salvo algunas modificaciones grandes que sufra.

Yo en terminos generales casi que estoy a favor aunque entiendo el tema de que es arrancar a censurar en cierta forma lo que si me parece una locura en lo poco que lei es que el umbral que marca para cambiar cosas es muy bajo el 55% es realmente demasiado bajo y ahi no coincido nada. Pero bueno como digo lo lei todo por arriba tendria que leer mas y ponerme al corriente para hacer una opinion mas formada al respecto.

Bueno no quiero tampoco irme por las ramas en OT asi que ahi la dejo.

[netinfra]

En un ecosistema formal y gubernamental como cualquier banco, esto tendría, entre otras consecuencias, tener que indemnizar a todos sus clientes con las pérdidas provocadas... Análogamente, se tendrían que asociar todos los afectados, al menos aquellos que tienen al día todo su saldo de manera legal, y enjuiciar a la empresa para recibir su compensación.