COLDCARD explica por qué un iPhone desconectado no reemplaza a una hardware wallet

El equipo detrás de COLDCARD y el CEO de Coinkite, Rodolfo Novak, se sumaron el 16 de julio al debate sobre la custodia de fondos al sostener que ningún teléfono desconectado reemplaza a una hardware wallet dedicada, una discusión que abrió el investigador on chain ZachXBT.

El planteo se originó este 15 de julio cuando ZachXBT calificó a las hardware wallets de «basura total» en un mensaje difundido en su canal de Telegram y recomendó reemplazarlas por un iPhone separado, cuyo único propósito fuera firmar transacciones y guardar fondos, como lo reportó CriptoNoticias.

El equipo de COLDCARD explicó que un teléfono sin tarjeta SIM y sin aplicaciones sociales sigue siendo una computadora de uso general, sigue teniendo un sistema operativo de consumo, procesadores de imágenes y documentos, una cadena de actualizaciones, memoria de aplicaciones y hardware de Wi-Fi y Bluetooth, todo pensado para tareas ajenas a Bitcoin.

Asimismo, la diferencia no está solo en estar “offline”, ya que, señalan desde COLDCARD, un teléfono, aunque se limpie completamente, aún es una computadora de uso general.

Sacá el chip SIM. Borrá el teléfono. Eliminá cada aplicación menos la wallet. Guardalo en un cajón y llamalo resguardo en frío. Mejoraste un teléfono. No construiste una hardware wallet.

Comunicado de COLDCARD.

Según ese argumento, la diferencia real en usar una hardware wallet está en separar dos tareas. Por un lado, la computadora arma la transacción de Bitcoin parcialmente firmada (PSBT, por sus siglas en inglés) y, por el otro, la wallet la revisa y la firma de manera independiente. «Construimos COLDCARD alrededor de una premisa más dura, el teléfono o la computadora que prepara una transacción de Bitcoin puede estar ya comprometido», agregaron.

Esa separación de tareas cumple una función concreta según el equipo de COLDCARD, porque robar fondos no siempre requiere robar una semilla. Sostuvieron que un software malicioso instalado en la computadora (que circunstancialmente también podría estar en un teléfono móvil) tiene la capacidad de reemplazar la dirección de destino de una transacción, inventar una salida de cambio o mostrar una operación en la pantalla de la computadora mientras le pide al dispositivo que firme otra distinta.

Por ejemplo, un caso documentado por Microsoft detectó un malware que sustituye direcciones de criptomonedas copiadas al portapapeles, el cual es capaz de mostrarle al usuario la dirección que quiso copiar mientras envía otra al dispositivo de firma.

Los teléfonos son más vulnerables

Para reforzar esta postura, el equipo de COLDCARD también expuso casos de ataques ya documentados contra teléfonos. Entre ellos, uno del 2023, cuando la organización Citizen Lab reveló BLASTPASS, una cadena de exploits de clic cero (ataques que no requieren ninguna interacción de la víctima) que comprometió iPhones con iOS 16.6 a través de imágenes maliciosas enviadas por iMessage.

El equipo de COLDCARD cerró su argumento con una distinción entre los usos que sí le reconoce a un teléfono y los que no. Sostuvo que puede ser el lugar correcto para el dinero que se gasta a diario, una wallet de solo lectura (watch-only) confiable, o el coordinador más conveniente que alguien pueda tener para armar sus transacciones. «Esos son trabajos distintos a sostener la única clave que puede mover los ahorros de toda una vida», agregaron.

Con esa distinción, el equipo de COLDCARD delimitó su rechazo al planteo de ZachXBT, un teléfono puede cumplir varias funciones dentro de la custodia de fondos, pero no la de firmante final sobre el ahorro de largo plazo.

Por otro lado, desde COLDCARD reconocieron fallos propios en sus aparatos. Por ejemplo, en 2023 Ledger Donjon, el equipo de seguridad de la empresa Ledger, atacó con éxito, mediante inyección de fallos láser, uno de los dos chips de seguridad de la hardware wallet COLDCARD Mk4, el Maxim DS28C36, logrando extraer páginas protegidas de memoria con un 99% de éxito reportado, aunque aclaró que ese ataque no permitió recuperar la semilla completa porque el secreto depende también de un segundo chip y del procesador principal.

Lo que sumó el CEO de Coinkite

Ese mismo 16 de julio, Novak profundizó el planteo de COLDCARD en su propia cuenta de X (@nvk), centrado en la misma pregunta sobre si un iPhone alcanza para reemplazar a una hardware wallet.

Sostuvo que un teléfono «limpio» es una condición temporal, no una arquitectura, porque la siguiente instalación de una aplicación, actualización del sistema operativo, lectura de un código QR, conexión de un cable o decisión de resguardo vuelve a cambiar el estado del dispositivo que ZachXBT propuso dejar aislado.

Novak agregó que, aunque el sistema operativo de un iPhone aísla mejor sus aplicaciones que muchas computadoras de escritorio, ese aislamiento no elimina errores que permiten a un atacante tomar control total del sistema. «Si un malware puede intervenir la wallet después de que Face ID la desbloqueó, el cifrado en reposo ya cumplió su función y deja de ser la defensa relevante en ese momento», planteó.

Sobre la posibilidad de un ataque físico al propio teléfono, Novak citó un hallazgo de 2026 de Ledger Donjon, el laboratorio de seguridad de Ledger, contra un procesador MediaTek Dimensity 7300 usado en teléfonos populares. Mediante inyección de fallos electromagnéticos (una técnica que perturba físicamente el funcionamiento de un chip), los investigadores lograron ejecutar código arbitrario en el nivel de privilegio más alto de la memoria de arranque del chip (boot ROM).

Con ese antecedente, Novak buscó mostrar que ni siquiera un teléfono apagado queda exento del tipo de ataque físico que una hardware wallet dedicado busca resistir con chips de seguridad propios.

Finalmente, a la respuesta del equipo de COLDCARD y de Novak se suma a la que había dado horas antes Trezor, otra empresa creadora de hardware wallets. Danny Sanders, CCO de esa compañía, cuestionó el uso de un teléfono móvil como alternativa e insistió en que sigue siendo «un dispositivo de propósito general» comparado con un dispositivo dedicado para firmar transacciones, como lo notificó CriptoNoticias.

De modo tal, los dos fabricantes de hardware wallets que respondieron públicamente a ZachXBT, Trezor y Coinkite, coincidieron en rechazar la idea de reemplazar sus dispositivos por un teléfono, mientras reconocían de forma explícita vulnerabilidades documentadas en sus propios productos.