La empresa canadiense Coinkite reconoció este martes que las revisiones de código asistidas por inteligencia artificial no detectaron la vulnerabilidad de sus monederos Coldcard que ha permitido el robo de más de 100 millones de dólares estadounidenses en bitcoin.
La compañía, con sede en Toronto, explicó en un comunicado que analizó sus sistemas críticos con inteligencia artificial, incluso semanas antes de los ataques, y que después del incidente volvió a probar el código con varios modelos avanzados, sin que ninguno identificara el fallo.
Según Coinkite, el error se encontraba en la interacción entre dos submódulos no relacionados y no en el código principal ni en la lógica criptográfica, áreas en las que suelen concentrarse las revisiones.
La empresa pidió a otros fabricantes que examinen especialmente las conexiones entre módulos.
Galaxy Research calcula que tres oleadas confirmadas y otros incidentes menores sustrajeron 1,596 bitcoins de unas 7,300 direcciones, por un valor superior a US$100 millones. Una cuarta oleada sin confirmar elevaría el total a 2,055 bitcoins, valorados en unos US$130 millones estadounidenses.
Un monedero Coldcard es un pequeño dispositivo físico, parecido a una calculadora, que sirve para proteger las claves que permiten acceder a los bitcoins.
El monedero Coldcard no guarda los bitcoins dentro: estos permanecen registrados en la red de Bitcoin. Lo que conserva sin conexión a internet es la información secreta de la que deriva la frase de recuperación, una serie de palabras que funciona como una llave maestra para acceder a los fondos y autorizar operaciones.
El ataque explotó un fallo presente en versiones del firmware distribuidas desde marzo de 2021. Los atacantes pudieron reconstruir las claves privadas y acceder a los fondos sin tocar físicamente los dispositivos.
El consejero delegado y cofundador de Coinkite, Rodolfo Novak, se disculpó el viernes y asumió plena responsabilidad por el fallo. La empresa dijo que está cooperando con las fuerzas de seguridad de varias jurisdicciones.
