Coldcard refuerza la generación de semillas con una actualización de firmware

Coinkite lanzó una nueva actualización de seguridad para reforzar la generación de frases semilla, al exigir entropía proporcionada por el usuario combinada con una aleatoriedad mejorada del dispositivo.

Coinkite anunció el firmware 5.6.1 para los dispositivos Coldcard Mk4 y Mk5, y la versión 1.5.1Q para Coldcard Q, en una publicación.

La versión exige que las semillas recién generadas incluyan entropía proporcionada por el usuario mediante al menos 65 pulsaciones de teclas con intervalos impredecibles, 50 lanzamientos de un dado de seis caras o 128 lanzamientos de moneda. Esa información se combina con la aleatoriedad de múltiples fuentes del dispositivo, incluidos sus elementos seguros y su generador de números aleatorios (RNG) de hardware.

La aleatoriedad combinada se utiliza para crear la frase semilla de la billetera y está destinada a mantener sus claves privadas impredecibles incluso si una de las fuentes de entropía del dispositivo falla.

Coinkite indicó a los usuarios que actualizaran de inmediato, haciendo hincapié en que las frases semilla existentes siguen siendo vulnerables incluso después de la actualización y deben reemplazarse por nuevas semillas antes de migrar los fondos. 

Las pérdidas confirmadas por el exploit de Coldcard alcanzaron los 1.778 Bitcoin (BTC), con un valor aproximado de 112 millones de dólares, según un informe del 14 de agosto de Galaxy Research. Esto convierte al hackeo de Coldcard en el tercer exploit de criptomonedas más grande de 2026, según datos recopilados por DefiLlama.

Coldcard añade protecciones para las transacciones y el USB

La actualización de firmware del 31 de julio de la empresa ya había corregido el fallo de generación de semillas para las billeteras recién creadas. La versión del jueves sigue a tres semanas de una revisión de seguridad más amplia y también añade protecciones para el manejo de datos USB, la firma de transacciones y la aleatoriedad del hardware.

Coinkite afirmó que la actualización aborda un ataque teórico que involucra un puerto USB de una computadora comprometida, al volver a verificar las transacciones inmediatamente antes de firmarlas. El firmware también incorpora comprobaciones adicionales del RNG de hardware y una prueba durante el arranque diseñada para verificar que la billetera esté utilizando la ruta de hardware prevista.

Relacionado: Una empresa de ciberseguridad revela una campaña de phishing cripto dirigida a 885.000 números de teléfono

Otros cambios restringen las descargas USB a la salida más reciente del dispositivo y exigen una sesión cifrada, mientras que ciertos modos de hash de firma de Bitcoin que permiten que las salidas de las transacciones sigan siendo modificables ahora están bloqueados de forma predeterminada.

Coinspect lanza una herramienta para detectar semillas débiles

Otras empresas también están lanzando software para identificar billeteras potencialmente expuestas por una generación débil de semillas.

La empresa de seguridad blockchain Coinspect presentó Unlukey, una herramienta pública gratuita para identificar direcciones de billetera generadas a partir de frases semilla débiles. La primera versión de la herramienta busca reproducir la generación de semillas débiles conocida y comprobar si las direcciones públicas pertenecen al conjunto de datos afectado, dijo Coinspect en una publicacióndel viernes en X.

La generación débil de frases semilla fue una de las principales vulnerabilidades que provocaron el exploit de Coldcard. TRM Labs afirmó que un error de firmware de marzo de 2021 debilitó la aleatoriedad de las semillas en algunas billeteras Coldcard, reduciendo la fortaleza de las claves de 128 bits a 40 bits y haciéndolas “vulnerables a ataques de fuerza bruta sin acceso físico”. 

Revista: Dentro de la «falsa redada policial» que obligó a transferir 1 millón de dólares en Bitcoin