Caso Coldcard pone a prueba el principio «No confíes, verifica», advierte Jameson Lopp

La explotación de una vulnerabilidad en las billeteras de hardware Coldcard, que ya ha provocado el robo de más de 1.300 bitcoin (BTC), abre el debate sobre los límites de la autocustodia y de uno de los principios más conocidos de Bitcoin: «No confíes, verifica».

Durante el podcast The Starting Block, Jameson Lopp, investigador de seguridad de Bitcoin y cofundador de Casa, aseguró que el incidente no desacredita la autocustodia, pero sí demuestra que la verificación independiente del software y el hardware es una tarea prácticamente imposible para la mayoría de los usuarios.

A raíz de este caso, Lopp sostuvo que el principio de «No confíes, verifica» sigue siendo válido como ideal dentro del ecosistema de Bitcoin, aunque su aplicación práctica tiene límites evidentes. En su opinión, la mayoría de los usuarios termina depositando su confianza en fabricantes de hardware, desarrolladores de software e investigadores de seguridad, ya que carece de los conocimientos necesarios para auditar estos sistemas por sí misma. «En última instancia, terminamos confiando en alguien que sospechamos que lo ha verificado», añadió.

Lopp explicó que el fallo redujo la entropía utilizada para crear las semillas, permitiendo que atacantes realizaran ataques de fuerza bruta contra las billeteras afectadas sin necesidad de acceder físicamente a los dispositivos. Desde que la vulnerabilidad salió a la luz, investigadores de la red han identificado varias oleadas de robos, que en conjunto ya superan miles de BTC sustraídos.

Por otro lado, también señaló que la inteligencia artificial está transformando el panorama de la ciberseguridad al acelerar tanto el descubrimiento como la explotación de vulnerabilidades. Según explicó, las herramientas basadas en modelos de lenguaje facilitan la identificación de fallos por parte de los atacantes, aunque también reducen el costo y el tiempo de revisión de código para los defensores, generando una carrera constante entre ambos.

Pese al impacto del caso Coldcard, el investigador insistió en que la autocustodia mantiene su propuesta de valor. A su juicio, cada vulnerabilidad crítica obliga a la industria a elevar sus estándares de seguridad y recuerda que proteger los propios fondos implica asumir responsabilidades y comprender los riesgos asociados. Para Lopp, el desafío no es abandonar la autocustodia, sino reconocer las relaciones de confianza que siguen existiendo y reducirlas siempre que sea posible.