Un análisis técnico que abarcó 494 aplicaciones de criptomonedas en la App Store, seleccionadas de un total de 904 clasificadas como no custodiales, descubrió que 45 de ellas presentan fallos de seguridad críticos. El estudio, liderado por Igor Korsakov, director de tecnología de BlueWallet, determinó que aproximadamente el 9% de las wallets auditadas en iOS exponen los activos de los usuarios. El informe, publicado en el sitio kek.lol, detalla varios vectores de ataque específicos en la tienda de Apple.
Las fallas que comprometen los fondos
Entre los problemas identificados se encuentra el envío de frases secretas, semillas mnemotécnicas y claves privadas a bases de datos remotas como Firestore, Heroku o dominios externos. Un caso ejemplar es Aura: Bitcoin Wallet, cuyo código abierto en GitHub sugiere una ejecución local, pero su versión comercial en iOS transmite los datos de recuperación al servidor coffer.agency. Además, se detectó un cifrado insuficiente: generación de frases semilla en servidores centralizados y uso de funciones matemáticas predecibles como Math.random para el estándar BIP39, lo que elimina la entropía necesaria para garantizar la seguridad de la billetera. También se encontró ejecución remota de módulos JavaScript no firmados, cargados desde servidores externos sin verificar su integridad.
Estas deficiencias anulan el principio fundamental de la autocustodia: el control exclusivo de los activos digitales. Al emplear una de estas aplicaciones vulnerables, las claves secretas, equivalentes a las llaves de acceso a una caja fuerte, quedan expuestas a transmisiones no autorizadas hacia servidores foráneos. La generación de frases de recuperación mediante algoritmos predecibles permite a terceros calcular o adivinar combinaciones, facilitando el vaciado remoto de los fondos sin que los propietarios intervengan.
Impacto real y contexto de seguridad
El hallazgo pone en entredicho los mecanismos de revisión de Apple. Aunque la App Store promete un ecosistema cerrado y seguro, no es la primera vez que sus controles fallan. En mayo de 2026, Kaspersky identificó 26 aplicaciones falsas en iOS que suplantaban a marcas como MetaMask y Coinbase. Apple enfrenta demandas legales tras la aparición de una app falsa de Sparrow Wallet que provocó el robo de 1,8 millones de dólares en Bitcoin. Hasta ahora, la compañía no ha emitido declaraciones sobre la eliminación de las aplicaciones señaladas.
El estudio de Korsakov reactiva el debate sobre la fragilidad de las soluciones de firma única en dispositivos móviles conectados a internet. Ante la vulnerabilidad de las grandes tiendas de aplicaciones, los expertos recomiendan usar la app móvil solo para consultas: configurar la wallet del teléfono únicamente para preparar transacciones y consultar saldos, sin almacenar las claves secretas en el dispositivo. Asimismo, se sugiere que la autorización final (la firma) se realice siempre desde un dispositivo físico sin conexión, como Keystone o Foundation Devices.
La carrera de la inteligencia artificial y la seguridad
Las revelaciones confirman que la seguridad en el ecosistema de bitcoin y las criptomonedas atraviesa una etapa crítica, con múltiples vectores de ataque. El análisis de Korsakov también destaca el uso de inteligencia artificial, como Grok 4.6 xhigh, para auditar cientos de aplicaciones en tiempo récord. Esta capacidad de automatización, que permite a investigadores independientes detectar fallas ocultas a gran escala, también es empleada por actores maliciosos para perfeccionar estafas, automatizar malware y encontrar brechas de código a una velocidad sin precedentes. La batalla por la custodia digital ya no solo enfrenta a usuarios y ciberdelincuentes, sino a dos caras de la IA compitiendo por adelantarse al próximo fallo de seguridad.