La compañía canadiense Coinkite admitió que las revisiones de código asistidas por inteligencia artificial no lograron detectar la vulnerabilidad en sus monederos físicos Coldcard, un error sistémico que facilitó el robo de más de 100 millones de dólares en bitcoin.

A pesar de haber analizado sus sistemas críticos con tecnología automatizada semanas antes de los ataques, y de volver a probar el código tras el incidente con múltiples modelos avanzados, ninguna herramienta de inteligencia artificial identificó el fallo de seguridad.

La firma con sede en Toronto aclaró que la brecha no se encontraba en el código principal ni en la lógica criptográfica, sino en una compleja interacción entre dos submódulos independientes que usualmente quedan fuera de las revisiones habituales, por lo que instó a otros fabricantes de la industria a examinar minuciosamente las conexiones de sus componentes.

Los monederos Coldcard son dispositivos físicos diseñados para custodiar de forma desconectada la información secreta y las frases de recuperación que sirven como llave maestra para autorizar transacciones en la red Bitcoin.

Sin embargo, los atacantes lograron explotar un defecto presente en las versiones del firmware distribuidas desde marzo de 2021, lo que les permitió reconstruir las claves privadas y sustraer los fondos a distancia sin necesidad de manipular físicamente los aparatos.

Según estimaciones de la firma Galaxy Research, tres oleadas de ataques confirmadas afectaron a unas 7.300 direcciones extrayendo un total de 1.596 bitcoins, mientras que una cuarta oleada aún en proceso de verificación podría elevar la cifra total a 2.055 bitcoins, equivalentes a unos 130 millones de dólares.

Ante la gravedad de la situación, el consejero delegado y cofundador de Coinkite, Rodolfo Novak, asumió la total responsabilidad del suceso y ofreció disculpas públicas, al tiempo que la empresa confirmó su total cooperación con los cuerpos de seguridad de diversas jurisdicciones para investigar el millonario fraude.