En el más reciente episodio del podcast Separando el Dinero y el Estado, el especialista Matías Mathey regresó al programa de manera urgente para abordar las repercusiones del fallo de seguridad en los dispositivos ColdCard. A diferencia de otros analistas que se centraron en el aspecto técnico, Mathey se enfocó en la respuesta directa a los usuarios afectados, ofreciendo asistencia práctica como talleres, sesiones en vivo y un tutorial gratuito para configurar passphrases en 18 billeteras digitales.
La urgencia frente a lo importante: prioridades en la crisis
Mathey planteó un marco de análisis basado en la diferencia entre lo urgente y lo importante. Lo primordial, según él, es evitar la pérdida de fondos, incluso si eso implica recurrir temporalmente a un exchange, contradiciendo la postura purista de evitar servicios con verificación de identidad. Lo significativo, en cambio, debe abordarse con calma: la elección del hardware, la implementación de multifirmas y la planificación hereditaria. Para ilustrar este dilema, mencionó el caso de un abuelo argentino que escondía dólares bajo una baldosa y se llevó el secreto a la tumba, demostrando que la paranoia no es exclusiva de la autocustodia de criptomonedas.
Propuesta de auditoría cruzada y fallos en la revisión de código
Mathey sugirió una solución ambiciosa: establecer auditorías cruzadas entre competidores, como que Trezor revise el código de Blockstream y viceversa, con procesos de aprobación múltiple similares a las normas ISO. Sin embargo, reconoció que esto no ocurre debido a los egos y los intereses comerciales. Además, señaló que, según declaraciones de ColdCard, la empresa sometió su código a varios sistemas de inteligencia artificial sin detectar la vulnerabilidad. Charles Guillemet, de Ledger, destacó que el costo y esfuerzo de revisar código cambian drásticamente cuando lo hace un agente automatizado en lugar de un humano.
Impacto del incidente y reacciones de la comunidad
Ninguno de los clientes cercanos de Mathey resultó afectado, pero varios poseían ColdCard MK4 con passphrase y realizaron migraciones o refuerzos de seguridad. Inicialmente se pensó que el problema solo afectaba a dispositivos con firmware de 2021, pero también se robaron fondos de unidades MK4. Jameson Lopp comentó que la mayoría de los usuarios no auditan el código de las empresas y terminan confiando ciegamente. El atacante utilizó un mezclador, presuntamente Wasabi, para mover los fondos, y un usuario identificado como Krwed fue señalado como coordinador del CoinJoin, defendiendo la anticensura y la inconfiscabilidad. Tras el incidente, se registraron picos récord de transacciones on-chain, ya que muchos usuarios abandonaron ColdCard o modificaron sus configuraciones.
Lecciones adicionales: ataques a notarías y el papel de los covenants
Mathey también mencionó que, aproximadamente un mes antes, un ataque cibernético a una notaría en Rumania borró registros de propiedad de viviendas, con casos similares en Polonia, Grecia y Croacia. En la misma semana, Boltz sufrió un ataque sostenido que obligó a suspender servicios antes de que se comprometieran fondos, afectando a otros servicios del ecosistema. Finalmente, se discutió cómo los covenants podrían permitir condiciones de gasto, como restringir el envío de bitcoin solo a direcciones predefinidas, una funcionalidad que actualmente no existe.
Conclusión: hacia una autocustodia más segura y colaborativa
El episodio dejó claro que la autocustodia de Bitcoin enfrenta desafíos significativos, desde fallos de seguridad hasta la necesidad de auditorías más rigurosas. La propuesta de Mathey de una auditoría cruzada entre competidores, aunque difícil de implementar, podría ser un paso crucial para mejorar la confianza en el ecosistema. Mientras tanto, los usuarios deben equilibrar la urgencia de proteger sus fondos con la importancia de tomar decisiones informadas a largo plazo.