Cómo un error en el código de Coldcard pasó desapercibido por años, resultando en $100 millones en fondos hackeados

Las billeteras de hardware se encuentran en algún punto intermedio entre una billetera de papel y una billetera caliente basada en navegador. Son más difíciles de hackear que el software, más difíciles de perder que el papel, pero no son infalibles. Pueden perderse o ser robadas, y los usuarios deben poder confiar en el dispositivo para generar sus claves correctamente en primer lugar.

“Los sistemas con espacio de aire (air-gapped) ayudan, pero no son una solución perfecta”, dijo Bobby Gray, fundador de TEXITcoin, a CoinDesk. “La seguridad tiene que empezar con cómo se generan las claves y continuar a través de cada parte del proceso de custodia”.

Esto es, lamentablemente, donde las cosas salieron mal para Coinkite, el fabricante de la billetera Coldcard.

Un error en el sistema

En marzo de 2016, la empresa de bitcoin con sede en Toronto les dijo a sus clientes que estaba retirando su billetera caliente alojada. Operar una empresa de servicios financieros en línea había traído inundaciones persistentes de tráfico de internet basura destinado a desconectar sus servicios, junto con costos legales crecientes y complicaciones regulatorias.

En su lugar, Coinkite dijo que quería intentar algo diferente. Quería construir hardware descentralizado y "software-no-como-un-servicio". Eso fue a principios de la historia de las criptomonedas, antes del segundo halving de Bitcoin, cuando un bitcoin entero cotizaba ligeramente por encima de la marca de los $400.

El giro de Coinkite produjo primero Opendime en abril de 2016. La pequeña memoria USB generaba y ocultaba una clave privada, permitiendo que el bitcoin pasara de una persona a otra como un instrumento al portador físico. Al romper físicamente el sello del dispositivo se revelaba la clave y se permitía gastar los fondos.