Publicar

Las carteras frías ya no son seguras: vulnerabilidad del firmware de Coldcard, ataque a la cadena de suministro de Ledger — ¿realmente tus BTC te pertenecen? Gastaste 1000 yuanes en una cartera fría, pensando que tus activos estaban completamente seguros. En un año, dos incidentes te demuestran que una cartera fría también puede ser una bomba de tiempo. La primera bomba: Coldcard, ni siquiera tocaste el dispositivo y el dinero desapareció. En marzo de 2021, el fabricante canadiense de carteras hardware Coinkite introdujo un defecto fatal en el firmware de Coldcard: al generar la frase mnemotécnica, el dispositivo no usaba el chip de números aleatorios hardware real, sino un generador de números pseudoaleatorios por software. En términos simples, lo que creías "aleatorio" no lo era. El atacante no necesitaba tocar tu dispositivo ni siquiera que estuvieras conectado a internet, podía calcular matemáticamente en masa tus frases mnemotécnicas. El primer ataque ocurrió el 30 de julio de 2026. En 25 minutos, desaparecieron aproximadamente 594 BTC de 500 direcciones. Esto fue solo el comienzo. Luego vinieron al menos tres oleadas más de ataques, y finalmente más de 1.816 BTC fueron transferidos desde más de 5.200 direcciones, con pérdidas estimadas entre 114 y 116 millones de dólares. Un usuario dijo que su Coldcard nunca se conectó a internet, su frase mnemotécnica nunca se filtró, pero sus activos fueron robados. La respuesta oficial de Coinkite fue una sola frase: todas las frases mnemotécnicas generadas desde marzo de 2021 deben considerarse potencialmente comprometidas. Actualizar el firmware no sirve — las frases ya generadas nunca serán seguras, debes crear nuevas frases y transferir tus activos. La segunda bomba: Ledger, el dispositivo que compraste a un distribuidor podría haber sido manipulado. El 9 de octubre, usuarios de Ledger sufrieron un robo masivo, con pérdidas superiores a 86 millones de dólares, afectando cientos de carteras en cadenas como Ethereum, TRON, Bitcoin, entre otras. Las víctimas tenían en común que compraron sus dispositivos a través del distribuidor del sudeste asiático CryptoBilis. El ex CEO de Mt. Gox, Mark Karpelès, al abrir un Ledger proveniente de Malasia, descubrió una placa de circuito adicional con un módulo LTE y eSIM. Esta placa podía leer las señales enviadas a la pantalla, interceptar la frase mnemotécnica durante la inicialización del dispositivo y transmitirla por la red móvil. Pensabas que era un "distribuidor autorizado oficial", pero el dispositivo fue desmontado, modificado y manipulado desde el momento en que salió de fábrica. La señal más dolorosa es que la suposición de seguridad de toda la infraestructura DeFi está siendo derribada una a una. Balancer fue robado por 128 millones de dólares, Kelp DAO por 292 millones, Stream Finance sufrió un desanclaje de su dólar sintético xUSD, y el valor total bloqueado en Aave cayó de 26.000 millones a 14.200 millones en 5 días. Desde protocolos de préstamo hasta dólares sintéticos, desde exchanges hasta carteras hardware personales — cada eslabón que creías "seguro" ha tenido incidentes este año. ¿Qué debes hacer? Tres cosas, hazlas hoy. Primero, compra carteras hardware por canales oficiales. No busques gangas con distribuidores ni compres a terceros. El incidente de Ledger ya te mostró que el ataque a la cadena de suministro está escondido tras las palabras "distribuidor autorizado". Segundo, usuarios de Coldcard revisen inmediatamente. Si generaste frases mnemotécnicas en Coldcard después de marzo de 2021, crea una nueva cartera y transfiere tus activos hoy. Las frases antiguas son permanentemente inseguras. Tercero, usa multisig para grandes activos. Las carteras con firma única son el principal objetivo del ataque a Coldcard. Usa una multisig 2-de-3 con Trezor Safe 7, Ledger Nano y Casa para las claves de recuperación; si un dispositivo falla, tus activos siguen seguros. No pongas todos los huevos en la misma cesta — y no entregues tu clave privada a un solo dispositivo. 1011 nos enseñó que el apalancamiento puede matar. Este año nos enseña que incluso las carteras frías pueden traicionarte. En este mercado, el único enemigo de la seguridad es tu suerte. $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入