Aclaraciones sobre la vulnerabilidad de hardware wallets Coldcard
La autocustodia de Bitcoin requiere una formación previa
Hola,
Esperamos que te encuentres muy bien.
Hoy te escribimos para informarte sobre un asunto importante. En los últimos días se ha hecho pública una vulnerabilidad relacionada con la generación de la frase semilla en determinadas versiones de la billetera física COLDCARD. Es posible que ya hayas visto alguna noticia al respecto, pero creemos que merece la pena explicar con claridad qué ha ocurrido, a quién puede afectar y, sobre todo, aprovechar la ocasión para recordar algunas buenas prácticas que contribuyen a mantener una autocustodia sólida y segura.
Lo primero que queremos transmitirte es un mensaje de tranquilidad.
Esta vulnerabilidad no afecta a Bitcoin. La red continúa funcionando con total normalidad, su criptografía sigue siendo segura y no existe ningún fallo en el protocolo. Tampoco significa que todas las billeteras COLDCARD sean inseguras.
El problema reside en la forma en que determinadas versiones del dispositivo generaban la aleatoriedad (entropía) utilizada para crear la frase semilla. En algunos casos concretos, esa semilla podía contener menos entropía de la esperada, reduciendo el número de combinaciones que un atacante altamente especializado tendría que probar para llegar a reconstruirla.
Desafortunadamente, ya se han reportado algunos robos asociados a semillas vulnerables. Por ello, conviene revisar nuestra situación con calma y actuar si fuera necesario.
¿Quién podría estar afectado?
El riesgo afecta principalmente a quienes:
Generaron directamente su frase semilla en una COLDCARD incluida entre las versiones vulnerables.
No añadieron una fuente externa de entropía, como el lanzamiento de dados.
Siguen utilizando esa misma semilla para custodiar sus bitcoins.
Si tu semilla se creó incorporando entropía adicional mediante dados u otro método externo, el riesgo se reduce de forma muy significativa.
¿Qué ocurre con las formaciones de Ciudadela Ulises?
Queremos aprovechar esta comunicación para transmitirte tranquilidad.
En nuestras formaciones hemos trabajado principalmente con BitBox02, Blockstream Jade y, en algunas ocasiones, Ledger. Ninguno de estos dispositivos se ha visto afectado por esta vulnerabilidad.
No obstante, este incidente nos recuerda una realidad importante: ningún fabricante está completamente libre de que, en algún momento, pueda descubrirse una vulnerabilidad.
Precisamente por eso insistimos tanto en comprender los principios de una buena autocustodia y no depender únicamente de un dispositivo concreto. Cuando entendemos cómo proteger correctamente nuestras claves, estamos preparados para adaptarnos con seguridad ante cualquier incidencia que pueda surgir en el futuro.
Si utilizas una COLDCARD afectada
La recomendación general es sencilla:
Comprueba si tu modelo y la versión de firmware están entre las afectadas.
Genera una nueva frase semilla utilizando una fuente de entropía robusta, preferiblemente mediante dados físicos.
Crea una nueva cartera con esa semilla.
Transfiere tus bitcoins a la nueva cartera.
Una vez confirmado que todo funciona correctamente, deja de utilizar la semilla anterior.
Lo que no está comprometido
Conviene insistir en este punto porque es el más importante:
Bitcoin sigue siendo completamente seguro.
La criptografía de Bitcoin no se ha roto.
Las firmas digitales continúan siendo totalmente fiables.
Tus bitcoins no desaparecen por este problema.
La vulnerabilidad afecta únicamente al proceso de generación de determinadas frases semilla.
Aprovechemos para revisar nuestras buenas prácticas
Más allá de esta noticia, la seguridad de nuestra autocustodia depende, sobre todo, de nuestros hábitos.
Mantén siempre actualizado el firmware
Instala las actualizaciones únicamente desde la página oficial del fabricante y revisa las mejoras de seguridad que incorpora cada nueva versión.
Protege correctamente tu frase semilla
Recuerda siempre:
Nunca le hagas fotografías.
Nunca la almacenes en servicios en la nube.
Nunca la escribas en un ordenador o teléfono conectado a Internet.
Evita también imprimirla con impresoras conectadas a la red.
Utiliza una passphrase robusta
La passphrase —conocida como la “palabra número 25”— es una de las herramientas más eficaces para reforzar la seguridad de una cartera.
Aunque alguien consiguiera acceder a tu frase semilla, seguiría necesitando esa passphrase para poder acceder a tus bitcoins.
Nuestra recomendación es utilizar una passphrase de al menos 12 caracteres que combine mayúsculas, minúsculas, números y símbolos.
Si actualmente utilizas una passphrase corta o sencilla (por ejemplo, de cuatro o seis caracteres), este puede ser un buen momento para crear una más robusta y trasladar tus fondos con tranquilidad a esa nueva bóveda.
Es un pequeño esfuerzo que puede suponer una enorme mejora en tu seguridad.
Conserva copias resistentes
Siempre recomendamos disponer de, al menos, dos copias de la frase semilla almacenadas en ubicaciones diferentes.
Siempre que sea posible, utiliza soportes de acero inoxidable, mucho más resistentes frente al fuego, las inundaciones y el paso del tiempo.
Protege también tu privacidad
La seguridad no depende únicamente de la tecnología.
También conviene evitar comentar públicamente cuánto Bitcoin posees, no publicar fotografías de tus dispositivos y mantener en privado dónde guardas tus copias de seguridad.
Una reflexión final
La autocustodia implica asumir una responsabilidad, pero también nos ofrece una libertad extraordinaria.
Noticias como esta no deberían generar alarma, sino servirnos como recordatorio de que la seguridad es un proceso continuo. Revisar periódicamente nuestras prácticas, mantener los dispositivos actualizados y seguir unas pautas sencillas reduce enormemente el riesgo frente a errores humanos, fallos técnicos o vulnerabilidades que puedan descubrirse con el tiempo.
Desde Ciudadela Ulises seguiremos informándote siempre que surja cualquier novedad relevante y, como siempre, estaremos encantados de ayudarte si tienes cualquier duda o deseas revisar la seguridad de tu configuración.
Recibe un fuerte abrazo,
Equipo de Ciudadela Ulises