La reciente explotación de una falla de seguridad en los dispositivos Coldcard, que ha resultado en la pérdida de más de 1.300 BTC, ha reavivado el debate en torno a los límites de la autocustodia y el conocido mantra de Bitcoin: 'No confíes, verifica'. Jameson Lopp, investigador de seguridad y cofundador de Casa, ofreció su perspectiva en el podcast The Starting Block, donde señaló que el incidente no invalida la autocustodia, pero evidencia que verificar de forma autónoma el software y el hardware resulta casi inalcanzable para la mayoría de los usuarios.
La confianza implícita en el ecosistema
Lopp argumentó que, aunque el principio de 'No confíes, verifica' sigue siendo un ideal dentro del ecosistema Bitcoin, su aplicación práctica enfrenta barreras considerables. En la práctica, la mayoría de los usuarios termina delegando su confianza en fabricantes de hardware, desarrolladores de software y expertos en seguridad, debido a la falta de conocimientos técnicos para auditar estos sistemas por sí mismos. 'Al final, confiamos en alguien que suponemos que ha realizado la verificación', comentó el especialista.
Detalles de la vulnerabilidad
El fallo detectado redujo la entropía empleada en la generación de semillas, lo que permitió a los atacantes llevar a cabo ataques de fuerza bruta contra las billeteras afectadas sin necesidad de acceso físico a los dispositivos. Desde que se reveló la vulnerabilidad, los investigadores han identificado múltiples oleadas de robos que, en conjunto, ya superan varios miles de BTC sustraídos. Los modelos afectados incluyen las series MK2, MK3, MK4 y MK5 de Coldcard.
El papel de la inteligencia artificial
Lopp también destacó que la inteligencia artificial está transformando el panorama de la ciberseguridad, acelerando tanto la detección como la explotación de vulnerabilidades. Las herramientas basadas en modelos de lenguaje facilitan a los atacantes la identificación de fallos, pero también reducen el costo y el tiempo de revisión de código para los defensores, generando una carrera constante entre ambas partes.
La autocustodia sigue siendo relevante
A pesar del impacto del caso Coldcard, el investigador insistió en que la autocustodia mantiene su propuesta de valor. Cada vulnerabilidad crítica obliga a la industria a elevar sus estándares de seguridad y recuerda que proteger los propios fondos implica asumir responsabilidades y comprender los riesgos asociados. Para Lopp, el desafío no es abandonar la autocustodia, sino reconocer las relaciones de confianza que persisten y reducirlas siempre que sea posible.