Las hardware wallets son los dispositivos más seguros que existen para el almacenamiento de criptomonedas, pero no por eso están exentos de vulnerabilidades que pueden poner en riesgo real los fondos allí almacenados.
Si has escuchado hablar de Bitcoin, quizás habrás oído mencionar que el almacenamiento en frío es la forma más segura que existe para mantener a salvo tus bitcoins, y esto es completamente cierto. Este tipo de almacenamiento consiste en mantener las criptomonedas almacenadas en un dispositivo físico completamente desconectado de Internet, que solo hace uso de la red de forma momentánea al realizar una transferencia o gestionar los activos almacenados. Estos dispositivos se conocen como hardware wallets o monederos físicos y fueron diseñados para ofrecer la máxima seguridad posible para el resguardo de las criptomonedas y los activos digitales.
Sin embargo, pese a su extrema seguridad, las hardware wallets pueden ser víctimas de errores al momento de su diseño y creación; o de alguna vulnerabilidad que se escape de la investigación y el escrutinio de los desarrolladores cuando aplican actualizaciones de software, por ejemplo. También, las hardware wallets pueden ser víctimas del manejo incorrecto que le demos como usuarios, o de la poca seriedad al momento de almacenar las claves privadas y pines de acceso. Todos estos posibles errores son los que pueden llegar a poner en riesgo real las criptomonedas y los activos almacenados.
En el caso de la wallet física Coldcard, desarrolladores de la compañía Nunchuk y Shift Crypto revelaron que el fabricante de Coldcard, la empresa Coinkite, había ocultado la existencia de una vulnerabilidad de seguridad relacionada con los ataques remotos cuando se utilizan direcciones de multi-firma en Coldcard. Por otro lado, en Ledger, un usuario fue víctima de un “robo” en el que vio desaparecer sus bitcoins casi por completo. Por supuesto, no se trata de un ataque a los monederos de Ledger, sino más bien de un descuido del propietario de uno de estos monederos al momento de almacenar las claves privadas.
Te puede interesar: Investigadores descubren nueva campaña de malware enfocado en Cryptojacking para minar Monero
Coldcard, ataques remotos a multifirma
Una de las opciones de seguridad para el almacenamiento de criptomonedas es el uso de direcciones multifirma, que permiten a varios usuarios compartir el control sobre ciertos fondos y activos. Así, por ejemplo, si una dirección multifirma está bajo el control de 3 usuarios, al menos 2 de ellos deben firmar para autorizar una transacción. Sin embargo, esta capa de seguridad puede volverse en contra de usuarios desprevenidos, en especial si son víctimas de ataques remotos.
Los investigadores y desarrolladores de Nunchuk, Hugo Nguyen, y de Shift Crypto, el desarrollador bajo el pseudónimo de «Benma«, describieron en una publicación cómo las hardware wallets de Coldcard estuvieron expuestas, durante meses, a posibles ataques remotos.
Según la explicación de los desarrolladores, al momento de registrar monederos de multifirmas, este genera un xpub para los usuarios que forman el mismo. Las xpub son extensiones de las claves públicas, que permiten generar una dirección sin necesidad de acceder a las claves privadas. “Benma” explicó que al momento de crear una wallet, Coldcard no verificó que en realidad esta sea parte del monedero multisig o multifirma creado, dejando espacio para que un atacante malintencionado pudiera reemplazar los xpubs multisig con xpubs controlados por él mismo, y de esta manera, subvertir remotamente la generación de claves del monedero Coldcard. De esta forma, el hacker puede generar direcciones publicas que en realidad están bajo su control y hacerlas parecer como creadas por el monedero.
Este error de seguridad, considerado de gravedad, pudo haber causado que todas las monedas recibidas en un monedero multifirma en Coldcard fueran transferidas a un monedero controlado por el atacante en cualquier momento. Por suerte, no se tiene registro de que una situación así se haya presentado hasta ahora.
Una vulnerabilidad anunciada
“Benma” informó de esta vulnerabilidad de seguridad a los desarrolladores de Coldcard en noviembre del año pasado. No obstante, no fue sino hasta ahora, que estos presentaron una actualización en la versión 3.2.1, que corrige el error y asegurar la protección de los fondos.
El desarrollador informa que al momento de publicar sobre la vulnerabilidad encontrada, Coinkite no mencionó esto como un problema de seguridad ni transmitieron la urgencia de actualizar su versión de firmware de ese momento. De hecho, no fue sino hasta el pasado mes de enero que la compañía lanzó su nueva actualización. Además, “Benma” señala que los desarrolladores de Coldcard ignoraron su solicitud de recompensa por el error.
Ante esto, “Benma” cuestionó la actitud de poca urgencia de Coinkite, al considerar que las hardware wallet son vistas como los dispositivos más confiables del mercado para almacenar bitcoins y otras criptomonedas, por lo que se espera que en estas se almacenen grandes cantidades de dinero, lo que las convierte en blancos atractivos para los ciberdelincuentes.
Nueva actualización para Coldcard
La versión 3.2.1 de Coinkite fue lanzada el pasado 8 de enero, y según los desarrolladores de la compañía, corregía los problemas de seguridad expresados arriba. No obstante, para el día 14 de enero, los desarrolladores de Coinkite anunciaron una nueva versión, la v3.2.2, que han estado promocionando recientemente, invitando a toda su comunidad de usuarios a actualizar a esta nueva versión, que incluye varias mejoras en el explorador de direcciones con visualización de subcuentas, soporte de verificación para monederos multi-firmas, y más.
¿Y qué pasa con Ledger?
Por otro lado, el caso del “robo” de Bitcoin en Ledger, parece más un caso de descuido por parte del usuario de la hardware wallet, y no tiene nada que de una vulnerabilidad de seguridad del dispositivo, y mucho menos, con un ataque de phishing producto de la base de datos de usuarios y clientes de la compañía que ronda en Internet.
El caso, que fue atendido en el podcast de Bitcoin Lunaticoin, explica que Carlos Santiso, gestor de fondos en la compañía española Icaria Capital, describió en un tuit cómo habían desaparecido fondos en Bitcoin de su hardware wallet Ledger Nano S.
El operador de Lunaticoin contactó con Santiso para repasar qué pudo pasar, y cómo sus fondos habían desaparecido de su wallet. Según el podcast, Santiso no realizó ninguna transacción desde su dispositivo, y sus claves privadas, así como su contraseña de acceso, siempre se guardaron de forma segura y privada, descartando la posibilidad de que un tercero la haya manipulado. Santiso también aclaró que compró el dispositivo wallet de forma directa a Ledger, y que no lo adquirió a un tercero, por lo que también descarta el hecho de que la wallet haya sido manipulada antes de su entrega.
A pesar de descartar todas estas opciones, Santiso dejó una posibilidad abierta. El usuario afectado cree que al momento de configurar su hardware wallet estaba bajo la “mirada” de alguna cámara de seguridad, y que a través de esta, el atacante pudo conocer su clave de acceso y sus llaves privadas.
Medidas de seguridad recomendadas
Ante este lamentable hecho, los expertos en ciberseguridad hacen especial énfasis en que los usuarios tomen todas las medidas de precaución necesarias para proteger sus fondos. La primera de estas, es que gestionen sus propias claves de forma segura y privada; que el respaldo de la semilla o las palabras claves del dispositivo se realicen de forma escrita, en un lugar privado, lejos de la mirada de terceros, o como posiblemente le ocurrió a Santiso, lejos de la vigilancia de una cámara de seguridad. Las claves privadas nunca deben almacenarse en una imagen o vía correo electrónico, sin antes ser encriptados, pues cualquiera podría hackearlo y tener acceso a ellas, y por tanto a su dinero.
También se recomienda que las semillas se guarden en un espacio libre del deterioro de la humedad, ya que esta es la única forma de acceder a sus fondos en caso de perdida, robo o daño del dispositivo. Por último, al momento de gestionar una hardware wallet se recomienda comprar el dispositivo con proveedores oficiales y no en mercados electrónicos o a terceros. Si aplica estas medidas de seguridad podrá almacenar sus criptomonedas de la forma más segura posible, y reducir significativamente el riesgo de perder sus fondos.
Continúa leyendo: Ledger prepara un nuevo sistema de seguridad para datos
