En el episodio 41 de Separando el Dinero y el Estado, Matías Mathey vuelve al programa en modo emergencia, días después del incidente de Coldcard, no como analista del fallo técnico sino como quien estuvo en el terreno atendiendo a la gente asustada: llamadas, talleres, spaces, un tutorial gratuito de configuración de passphrase para dieciocho billeteras.
Su marco para la crisis es el de urgente contra importante: lo urgente es no perder los fondos —incluso si eso implica pasar temporalmente por un exchange, contra el reflejo purista del no-KYC—, y lo importante viene después, cuando hay tiempo para pensar el hardware, la multifirma, la herencia. Sobre el dilema de fondo —cuánta complejidad es demasiada— trae el mejor material del episodio: el abuelo argentino que escondía los dólares bajo el mosaico y se llevó el secreto a la tumba. La paranoia que destruye el patrimonio no la inventó la autocustodia.
Matías propone una salida concreta y difícil: auditoría cruzada entre competidores —Trezor revisando a Blockstream y viceversa— con procesos de aprobación múltiple estilo normas ISO, y admite en la misma frase por qué no ocurre: egos e intereses comerciales.
Lo más relevante:
- Ninguno de sus clientes cercanos resultó afectado; varios tenían Coldcard MK4 con passphrase y realizaron migraciones o refuerzos de su configuración.
- Inicialmente se creía que el problema estaba circunscrito a dispositivos con el firmware de 2021, pero también se sustrajeron fondos de dispositivos MK4.
- Jameson Lopp señaló que la mayoría de las personas no va a auditar el código de las empresas y termina confiando.
- Según lo declarado por Coldcard, la empresa pasó su código por diversos servicios de inteligencia artificial y no detectó la vulnerabilidad.
- El atacante está moviendo los fondos a través de un mixer, presuntamente Wasabi.
- Un usuario identificado como Krwed fue señalado en redes como el coordinador del CoinJoin utilizado, y se posiciona a favor de la anticensura y la inconfiscabilidad.
- Según Matías, en Coldcard existía autonomía para que desarrolladores subieran ciertos cambios al código sin revisión de terceros.
- Hace aproximadamente un mes hackearon una notaría en Rumania y borraron registros de propiedad de viviendas; situaciones similares ocurrieron en Polonia, Grecia y Croacia.
- Tras el incidente se alcanzaron picos récord de transacciones on-chain por usuarios saliendo de Coldcard o cambiando configuraciones.
- Charles Guillemet, de Ledger, ha señalado que la relación de costo y esfuerzo de revisar código cambia por completo cuando lo hace un agente automatizado en lugar de un humano.
- Existe un Red Team de Bitcoin, con participación del CEO de Anchor Watch y de Calle, de Cashu, que revisa código con inteligencia artificial.
- Según Calle, esa revisión ha encontrado alrededor de una vulnerabilidad crítica por persona por hora en los proyectos analizados.
- Matías prueba configuraciones de multifirma, incluyendo esquemas de cuatro de diez con hardware wallets.
- En la misma semana, Boltz sufrió un ataque sostenido durante varios días y suspendió servicios antes de que se comprometieran fondos.
- La caída de Boltz tuvo repercusiones en otros servicios de la industria.
- Los covenants permitirían establecer condiciones de gasto, como restringir el envío de bitcoin únicamente a direcciones predefinidas, algo que actualmente no es posible.
