Coldcard expone una nueva realidad: atacar wallets es barato, defenderlas ya no

Hay una cuestión que es necesario aclarar antes de sumergirnos en este artículo: el hackeo a las hardware wallets Coldcard no comprometió el protocolo de Bitcoin. La vulnerabilidad estuvo en el firmware de un dispositivo de autocustodia, no en la red ni en su criptografía.

Y aquí comienza la verdadera historia. El hackeo del pasado 30 de julio dejó al descubierto que la inteligencia artificial (IA) está cambiando quién tiene ventaja en la carrera por encontrar vulnerabilidades y cuánto cuesta conseguirla.

Hasta hace pocos años, la ventaja dependía principalmente del talento de investigadores y desarrolladores. Hoy, cada vez depende más de cuánta potencia de cómputo puede pagar cada lado.

Mientras un atacante puede destinar cientos o miles de dólares para ejecutar agentes de IA durante días buscando vulnerabilidades, los defensores necesitan invertir todavía más para encontrarlas antes. La carrera ya no es únicamente entre hackers y desarrolladores; también está en las finanzas. O, mejor dicho, entre presupuestos.

Una nueva economía de la seguridad

Esa fue precisamente una de las conclusiones que compartió el investigador Hosseeb, del fondo global de capital de riesgo Dragonfly. “Si los atacantes están gastando 500 dólares, y los buenos chicos quizás un par de dólares, solo encuentran los errores más evidentes”, manifestó.

Según explicó, el problema aparece cuando los atacantes mantienen durante horas o días múltiples agentes de IA explorando miles de rutas posibles. «Corea del Norte está gastando 500, 1.000 o 2.000 dólares simplemente ejecutando agentes durante toda la noche tratando de encontrar un ataque”, explicó.

Eso provoca que las auditorías tradicionales ya no resulten suficientes. «Ningún usuario normal llegará allí. Eso significa que realmente todo recae sobre la empresa», indicó.

Para Hosseeb, el único modo de equilibrar esa ventaja consiste en invertir todavía más recursos que los propios atacantes. Además, dijo:

«Si Corea del Norte, Rusia y China están gastando 5.000 dólares cada uno intentando hackear tu protocolo, pero tú gastas 10.000 dólares, encontrarás todo lo que ellos pueden encontrar… y más”.

Hosseeb, investigador del fondo global de capital de riesgo Dragonfly.

En otras palabras, la IA transforma la seguridad en una competencia económica: gana quien pueda financiar una búsqueda más profunda de vulnerabilidades.

Coldcard aceleró esa respuesta

El caso Coldcard parece haber demostrado que esa carrera ya comenzó. Tras descubrirse la vulnerabilidad, un grupo de desarrolladores creó el Bitcoin Red Team, una iniciativa destinada a revisar de forma intensiva wallets, bibliotecas criptográficas e infraestructura crítica utilizando agentes de inteligencia artificial, tal como informó CriptoNoticias.

Su responsable, Rob Hamilton, explicó: «Hemos estado trabajando sin descanso, con aproximadamente 20.000 dólares gastados hasta este momento». Si bien aclaró que el proyecto ya cuenta con financiamiento suficiente y que no necesita más donaciones, hay un sitio para canalizar aportes de la comunidad. El gesto ilustra una realidad que dejó al descubierto el caso Coldcard: proteger el ecosistema con auditorías impulsadas por IA ya requiere presupuestos que hace pocos años eran impensados.

Hasta el momento, el grupo asegura que ha realizado más de una docena de divulgaciones responsables y auditado más de 150 repositorios del ecosistema Bitcoin.

Para dimensionar el alcance de ese trabajo, Hamilton publicó un gráfico que resume la evolución de las auditorías realizadas por el Bitcoin Red Team. En apenas dos días de campaña, las herramientas automatizadas detectaron 4.939 hallazgos, de los cuales 708 fueron clasificados como de alta o crítica severidad. El fuerte salto observado en la curva coincide con la incorporación de agentes de IA capaces de escalar el análisis de repositorios de código de forma masiva, una capacidad que hasta hace poco resultaba inviable mediante revisiones manuales.

Hamilton, además, adelantó que desarrollaron un entorno automatizado que combina distintos modelos de inteligencia artificial para detectar vulnerabilidades. «Nuestro objetivo es abrir el código del arnés para que pueda dirigirse a repositorios internos y fortalecer las defensas más allá del código público», comentó.

Incluso confirmó que el equipo ya trabaja junto a OpenAI para ejecutar auditorías todavía más profundas. «El Cyber Harness de OpenAI es mucho más costoso, pero vale la pena para las partes críticas del ecosistema Bitcoin y ya ha dado buenos resultados”, remarcó.

La defensa también cambia

Las primeras conclusiones del equipo muestran la magnitud del desafío. El desarrollador CalleBTC, integrante del Bitcoin Red Team, aseguró: «La situación es extremadamente mala.»

En otra publicación agregó: «Estamos encontrando aproximadamente un exploit crítico por hora por persona.» No obstante, aclaró que esas vulnerabilidades afectan distintos componentes del ecosistema y no implican que el protocolo Bitcoin haya sido comprometido.

El objetivo del equipo, de hecho, consiste precisamente en encontrar esas fallas antes que actores como los grupos de hackers vinculados a Corea del Norte puedan explotarlas.

Porque el incentivo económico para este y cualquier otro grupo es muy grande. Como reportamos en CriptoNoticias, solo dos dólares bastaron para detectar la vulnerabilidad que desencadenó el ataque a Coldcard.

Pero supongamos otros posibles escenarios, menos flagrantes: pensemos en un ataque en el que hayan gastado los mismos 20.000 dólares que Bitcoin Red Team ha invertido en investigar. Eso querría decir que su inversión se multiplicó de una forma imposible de ignorar. Esos USD 20.000 se han convertido en más de 130 millones de dólares, quedándonos con la cifra de más de 2.000 BTC robados y su precio actual. E incluso si gastaron más: ¿cuánto más desincentivaría un ataque como este? Las cifras muestran que el incentivo es básicamente infinito en comparación con el costo de ejecutar el ataque.

Mucho más que Coldcard

El caso Coldcard no expuso una debilidad de Bitcoin. Expuso algo distinto: el creciente costo de proteger todo lo que se construye alrededor de la red.

Las wallets, las bibliotecas criptográficas y la infraestructura de soporte deberán enfrentarse a atacantes capaces de utilizar IA durante miles de horas de cómputo para buscar una única vulnerabilidad.

Eso obliga a los desarrolladores a responder con inversiones cada vez mayores en modelos de IA, capacidad de procesamiento y auditorías automatizadas.

La paradoja es evidente. La inteligencia artificial hace más barato atacar, pero también ofrece a los defensores la posibilidad de ganar esa carrera si consiguen invertir más recursos que los propios atacantes.

Después de Coldcard, la seguridad de Bitcoin ya no dependerá únicamente de escribir mejor código. También dependerá de quién pueda permitirse buscar antes y durante más tiempo los errores que todavía permanecen ocultos.