Posteo

Las carteras frías ya no son seguras: vulnerabilidad del firmware de Coldcard, ataque a la cadena de suministro de Ledger — ¿realmente tus BTC te pertenecen? Gastaste 1000 yuanes en una cartera fría, pensando que tus activos estaban completamente seguros. En un año, dos incidentes te demostraron que una cartera fría también puede ser una bomba de tiempo. La primera bomba: Coldcard, ni siquiera tocaste el dispositivo y el dinero desapareció. En marzo de 2021, el fabricante canadiense de carteras de hardware Coinkite introdujo un defecto fatal en el firmware de Coldcard: al generar la frase mnemotécnica, el dispositivo no usó el chip de números aleatorios de hardware real, sino un generador de números pseudoaleatorios por software. En términos simples, lo que creías "aleatorio" en realidad no lo era. El atacante no necesitaba tocar tu dispositivo ni siquiera que estuvieras conectado a internet, podía deducir matemáticamente en masa tu frase mnemotécnica. El primer ataque ocurrió el 30 de julio de 2026. En 25 minutos, aproximadamente 594 BTC desaparecieron de 500 direcciones. Esto fue solo el comienzo. Luego vinieron al menos tres oleadas más de ataques, y finalmente más de 1,816 BTC fueron transferidos desde más de 5,200 direcciones, con pérdidas estimadas entre 114 y 116 millones de dólares. Un usuario dijo que su Coldcard nunca se conectó a internet, su frase mnemotécnica nunca se filtró, pero sus activos fueron robados. La respuesta oficial de Coinkite fue una sola frase: todas las frases mnemotécnicas generadas desde marzo de 2021 deben considerarse posiblemente comprometidas. Actualizar el firmware no sirve — las frases ya generadas nunca serán seguras, debes crear una nueva frase y transferir tus activos. La segunda bomba: Ledger, el dispositivo que compraste al distribuidor podría haber sido manipulado. El 9 de octubre, usuarios de Ledger sufrieron un robo masivo, con pérdidas superiores a 86 millones de dólares, afectando cientos de carteras en cadenas como Ethereum, TRON, Bitcoin, entre otras. Las víctimas tenían algo en común: todas compraron sus dispositivos a través del distribuidor del sudeste asiático CryptoBilis. El ex CEO de Mt. Gox, Mark Karpelès, al abrir un Ledger proveniente de Malasia, encontró una placa de circuito adicional con un módulo LTE y eSIM. Esta placa podía leer las señales enviadas a la pantalla, interceptar la frase mnemotécnica durante la inicialización del dispositivo y transmitirla por la red móvil. Pensabas que era un "distribuidor autorizado oficial", pero el dispositivo fue desmontado, modificado y manipulado desde el momento en que salió de fábrica. La señal más dolorosa es que la suposición de seguridad de toda la infraestructura DeFi está siendo derribada una por una. Balancer fue robado por 128 millones de dólares, Kelp DAO por 292 millones, Stream Finance perdió el anclaje de su dólar sintético xUSD, y el valor total bloqueado en Aave cayó de 26 mil millones a 14.2 mil millones en 5 días. Desde protocolos de préstamos hasta dólares sintéticos, desde exchanges hasta carteras de hardware personales — cada eslabón que creías "seguro" ha tenido incidentes este año. ¿Qué debes hacer? Tres cosas, hazlas hoy. Primero, compra carteras de hardware solo por canales oficiales. No busques gangas con distribuidores ni compres a terceros. El incidente de Ledger ya te mostró que el ataque a la cadena de suministro está escondido detrás de las palabras "distribuidor autorizado". Segundo, usuarios de Coldcard deben revisar inmediatamente. Si generaste una frase mnemotécnica en Coldcard después de marzo de 2021, crea una nueva cartera y transfiere tus activos hoy. La frase antigua nunca será segura. Tercero, usa firmas múltiples para activos grandes. Las carteras de firma única son el principal objetivo del ataque a Coldcard. Usa una multisig 2-de-3 con Trezor Safe 7, Ledger Nano y Casa para las claves de recuperación; si un dispositivo falla, tus activos siguen seguros. No pongas todos los huevos en una sola canasta — y mucho menos la clave privada en un solo dispositivo. 1011 nos enseñó que el apalancamiento puede matar. Este año nos enseñó que incluso una cartera fría puede traicionarte. En este mercado, el único enemigo de la seguridad es tu suerte. $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入