Auditoría récord con IA revela 85 fallos críticos en el ecosistema Bitcoin tras el devastador hackeo a Coldcard

Cómo respondió al hackeo de la cartera Coldcard

La campaña fue una respuesta directa al exploit de la cartera hardware Coldcard de julio de 2026 . Esto es lo que ocurrió con ese hackeo:

• La vulnerabilidad: Un error de firmware introducido en la versión 4.0.0 del firmware de Coldcard (marzo de 2021) provocó que el dispositivo omitiera su generador de números aleatorios por hardware dedicado durante la creación de frases semilla . Esto hizo que las frases semilla de las billeteras fueran predecibles: la fortaleza de la clave se redujo de 128 bits a tan solo 40 bits .
• El ataque: A partir del 30 de julio de 2026, los atacantes explotaron esta falla para drenar fondos de miles de billeteras. La primera ola afectó a 1,196 direcciones en solo 41 minutos, robando 1,082.65 BTC (~$70 millones en ese momento) .
• Pérdidas totales: Múltiples olas elevaron el total a más de $116 millones en más de 5,200 direcciones, con algunas estimaciones que superan los $130 millones a medida que el ataque continuaba . Al menos una docena de hackers diferentes estuvieron involucrados .
• Respuesta de Coinkite: La empresa instó a los usuarios a actualizar el firmware y mover los fondos, pero para entonces gran parte del daño ya estaba hecho .

En respuesta, el Bitcoin Red Team lanzó su auditoría para encontrar errores similares en los generadores de números aleatorios, prácticas criptográficas débiles y otras fallas sistémicas antes de que los atacantes pudieran explotarlas .

Principales hallazgos y métodos

Hallazgos

El gran volumen —casi 5,000 informes en un día— creó un importante problema de triaje para los mantenedores posteriores . Solo aproximadamente uno de cada cinco hallazgos se confirmó como reproducible, pero el grupo argumentó que señalar problemas límite estaba justificado dada la gravedad del ataque de Coldcard .

Métodos

• El equipo utilizó modelos de IA de peso abierto para escanear bases de código en busca de patrones de vulnerabilidad conocidos, debilidades criptográficas y errores lógicos .
• Investigadores humanos guiaron la IA, validaron los resultados y presentaron informes de divulgación responsable .
• El grupo planea publicar como código abierto su arnés de seguridad de IA para que la comunidad en general pueda continuar con el escaneo automatizado .
• Se centraron en carteras, bibliotecas criptográficas y proyectos de infraestructura de Bitcoin, el tipo de código que, si es defectuoso, podría provocar otra pérdida a escala de Coldcard .

Por qué OpenAI revocó el acceso del investigador principal a mitad del proyecto

Rob Hamilton (CEO de AnchorWatch y colíder de la campaña) se había inscrito en el programa "Trust Cyber" de OpenAI, que concede a investigadores de seguridad aprobados acceso subsidiado a la API para la investigación de vulnerabilidades . El 8 y 9 de agosto de 2026, después de que ya hubiera integrado el programa en su flujo de trabajo y hubiera presentado divulgaciones válidas, OpenAI revocó su acceso sin explicación .

• Hamilton declaró públicamente que fue "bloqueado para seguir haciendo análisis en un código base sobre el que ya había informado de manera responsable y del que había recibido confirmación de que tenía hallazgos legítimos" .
• La revocación obligó al Bitcoin Red Team a recurrir a modelos de IA menos restrictivos, incluyendo alternativas chinas de peso abierto, un cambio que fue ampliamente señalado y criticado como un revés para la competitividad de la IA estadounidense en la investigación de seguridad .
• OpenAI no ha detallado públicamente sus razones. Las preguntas frecuentes del Programa de Acceso para Investigadores de la compañía señalan que los créditos se conceden a su discreción y pueden retirarse, pero no se ha citado ninguna violación de política específica por parte de Hamilton .