La empresa canadiense Coinkite reconoció este martes que las revisiones de código asistidas por inteligencia artificial no lograron detectar la vulnerabilidad de sus monederos Coldcard que ha permitido el robo de más de 100 millones de dólares estadounidenses en bitcoin. La compañía, con sede en Toronto, explicó en un comunicado que había analizado sus sistemas críticos con inteligencia artificial, incluso semanas antes de los ataques, y que tras el incidente volvió a probar el código con varios modelos avanzados, sin que ninguno identificara el fallo.

Según Coinkite, el error no se encontraba en el código principal ni en la lógica criptográfica las áreas donde suelen concentrarse las revisiones de seguridad, sino en la interacción entre dos submódulos no relacionados entre sí. La falla hizo que, en versiones del firmware distribuidas desde marzo de 2021, el dispositivo generara las semillas de recuperación mediante un generador de números pseudoaleatorios por software en lugar de recurrir al chip de aleatoriedad dedicado del hardware, lo que dejó las claves lo suficientemente predecibles como para que un atacante pudiera reconstruirlas sin necesidad de tocar físicamente los dispositivos.

Un monedero Coldcard es un pequeño dispositivo físico, similar a una calculadora, diseñado para proteger sin conexión a internet las claves que dan acceso a los bitcoins, los cuales permanecen registrados en la red de Bitcoin y no dentro del propio aparato. Lo que el dispositivo resguarda es la información secreta de la que se deriva la frase de recuperación, una serie de palabras que funciona como llave maestra para autorizar operaciones.

De acuerdo con la firma de análisis Galaxy Research, tres oleadas de ataques ya confirmadas, junto con otros incidentes menores, sustrajeron 1,596 bitcoins de unas 7,300 direcciones, por un valor superior a los 100 millones de dólares. Una cuarta oleada, aún sin confirmar, elevaría la cifra total a 2,055 bitcoins, valorados en unos 130 millones de dólares. La firma ha señalado que se trata de uno de los golpes más severos registrados contra usuarios de autocustodia de bitcoin.

El consejero delegado y cofundador de Coinkite, Rodolfo Novak, se disculpó públicamente el viernes pasado y asumió plena responsabilidad por el fallo, calificando la situación como devastadora para su equipo. La compañía indicó que está cooperando con fuerzas de seguridad de varias jurisdicciones para investigar el caso y pidió a otros fabricantes de dispositivos similares que examinen con especial atención las conexiones entre módulos de su propio código, no solo los componentes criptográficos centrales.

El episodio ha reavivado el debate sobre los límites de la inteligencia artificial como herramienta de auditoría de seguridad: si bien los sistemas de IA pueden acelerar la detección de errores comunes, este caso demostró que fallas sutiles derivadas de la interacción entre componentes pueden pasar desapercibidas tanto para los modelos automatizados como para las revisiones humanas, incluso durante varios años.