El hackeo a Coldcard demuestra que la reputación no es un modelo de seguridad

Nadie puede medir cuánto influyó la presión de las licencias en el alcance o la velocidad de esa reescritura, y la revisión también perseguía objetivos técnicos legítimos. Los hechos documentados son más limitados y aun así condenatorios: un cambio de licencia realizado para restringir a los competidores precedió a un reemplazo apresurado de código criptográfico probado en batalla, y el reemplazo contenía el fallo que ahora está drenando carteras. Los principios del software libre y de código abierto existen precisamente para evitar que la seguridad dependa de las decisiones de una sola empresa. Esos principios no pueden tener una excepción por personalidad.

Zach Herbert es cofundador y CEO de Foundation.

Los investigadores aprendieron a no mirar

El fallo más profundo es lo que les ocurrió a las personas que sí miraron. En agosto de 2020, investigadores de Shift Crypto y Nunchuk revelaron un fallo de verificación multifirma en Coldcard. Coinkite reconoció el error y lanzó una corrección, y NVK, en el podcast Citadel Dispatch, calificó simultáneamente la revelación como "terrorismo de relaciones públicas" y cuestionó si un investigador sin un CVE contaba como profesional. En 2023, cuando el proyecto WalletScrutiny informó problemas para reproducir versiones antiguas de Coldcard, la respuesta tachó al proyecto de incompetente o malicioso y planteó litigios. Un seguimiento independiente posterior encontró problemas genuinos de reproducción en versiones anteriores y concluyó que nadie había actuado de mala fe.