Jameson Lopp advierte a los tenedores de Bitcoin que no renuncien a la autocustodia

En una carta abierta del 22 de octubre dirigida a los clientes de Casa y a la comunidad de Bitcoin, Lopp argumentó que los recientes ataques habían generado preocupaciones legítimas sobre la gestión de claves privadas, pero no justificaban renunciar al control directo de las tenencias de Bitcoin.

Lopp señaló incidentes recientes en los que piratas informáticos utilizaron IA para encontrar fallos de seguridad, cadenas de suministro de monederos hardware comprometidas, monederos fríos vaciados y estafas más sofisticadas, lo que ha llevado a muchos tenedores de Bitcoin a cuestionarse si pueden gestionar sus fondos de forma segura.

Según él, muchos de los ataques que hoy son noticia ya eran conocidos por los profesionales de la seguridad, aunque su aparición en incidentes reales ha hecho que los riesgos sean más difíciles de ignorar para los tenedores comunes.

Lopp advierte que los ETF de Bitcoin no eliminan los riesgos de custodia

Lopp discrepó especialmente con la idea de que trasladar Bitcoin a fondos cotizados en bolsa u otros acuerdos de custodia gestionada ofreciera una solución sencilla a los recientes problemas de seguridad.

Reconoció que los inversores podrían sentirse más cómodos confiando en instituciones financieras tras enterarse de compromisos de monederos, pero argumentó que transferir el control de las claves privadas simplemente depositaba la responsabilidad en otra parte.

En su opinión, los ETF de Bitcoin ofrecen a los inversores exposición al precio de la criptomoneda sin darles control directo sobre las monedas subyacentes.

Este acuerdo obliga a los inversores a depender del fondo, de su custodio y de otras partes responsables de salvaguardar los activos. Lopp advirtió que los tenedores podrían tener poca influencia sobre las decisiones que afectan a su Bitcoin, incluidas situaciones de congelación o incautación por parte de las autoridades.

Sostuvo que las propiedades definitorias de Bitcoin provienen de su suministro fijo, reglas verificables públicamente y la capacidad de los usuarios de acceder a sus tenencias sin obtener permiso de un intermediario.

Aunque los inversores podrían beneficiarse financieramente de Bitcoin sin poseer claves privadas, Lopp argumentó que no disfrutarían del mismo grado de control disponible mediante la propiedad directa.

La advertencia se produjo después de informes de que algunos tenedores de Bitcoin habían trasladado activos hacia plataformas centralizadas tras recientes compromisos de monederos.

En agosto, se informó de entradas récord en OKX tras el exploit del monedero hardware Coldcard, y el exchange afirmó que los clientes recurrían cada vez más a la custodia gestionada.

Los recientes exploits de monederos de Bitcoin han suscitado preocupaciones de seguridad

Las preocupaciones expuestas en la carta de Lopp se produjeron después de varios incidentes relacionados con debilidades en el software de monederos, la distribución de hardware y la generación de claves privadas.

Uno de los casos más significativos afectó a los monederos hardware Coldcard, donde un error de configuración del firmware que se remonta a marzo de 2021 provocó que los dispositivos afectados generaran semillas de recuperación utilizando una fuente de aleatoriedad más débil.

Un informe del 3 de agosto sobre el exploit de seguridad de Coldcard detalló robos de Bitcoin sospechosos por valor de casi 90 millones de dólares en ese momento y los llamamientos del director de seguridad de Kraken, Nick Percoco, para que se realizaran pruebas independientes de la generación de semillas de los monederos.

El fallo permitió a los atacantes reconstruir claves privadas vulnerables sin acceder físicamente a los dispositivos ni obtener sus frases de recuperación.

Coldcard publicó posteriormente un firmware corregido, aunque las semillas vulnerables generadas anteriormente requerían que los usuarios crearan nuevos monederos y transfirieran sus tenencias.

Más recientemente, una investigación del 13 de octubre sobre monederos hardware Ledger comprometidos detalló casos relacionados con dispositivos distribuidos a través del revendedor del sudeste asiático CryptoBilis.

Ledger confirmó que se había identificado un implante de hardware no autorizado en un dispositivo afectado, mientras que la investigación no había establecido que sus propios sistemas o canales de venta directa estuvieran comprometidos.

Los problemas de seguridad relacionados con semillas de recuperación débiles también han afectado a otras redes de criptomonedas.

El 18 de octubre, Qubic reveló una brecha de seguridad en monederos que implicó el robo de aproximadamente 2,94 billones de tokens QU, por valor de 1,4 millones de dólares, de 1.404 monederos.

Los desarrolladores atribuyeron el incidente a una aleatoriedad insuficiente en ciertas semillas de recuperación de monederos y posteriormente corrigieron el software afectado.

La seguridad multifirma sigue siendo fundamental

En este contexto, Lopp argumentó que la respuesta a los controles de seguridad fallidos debería consistir en mejorar la protección de los monederos en lugar de abandonar por completo la autocustodia.

Basándose en más de 15 años de incidentes de seguridad en la industria de las criptomonedas, afirmó que los acuerdos de custodia eficaces debían tener en cuenta los errores humanos y la posibilidad de que las salvaguardas individuales fallaran.

Su enfoque preferido implicaba monederos multifirma, que distribuyen la autorización de transacciones entre múltiples claves privadas y pueden evitar que una única clave comprometida proporcione acceso completo a los fondos.

Lopp advirtió que la multifirma no era una solución completa por sí sola, aunque sostuvo que los acuerdos cuidadosamente diseñados podrían ofrecer una protección más sólida que los sistemas de custodia convencionales.

Animó a los tenedores de Bitcoin a revisar sus configuraciones existentes y distribuir las claves en diferentes ubicaciones geográficas y cadenas de suministro de hardware para reducir su dependencia de un único dispositivo o ubicación.

La carta abordó la planificación de la herencia como otra consideración importante, en particular qué ocurriría con el Bitcoin de alguien si no pudiera acceder o gestionar sus tenencias.

Casa, que ofrece servicios de autocustodia asistida, posiciona su papel en ayudar a los clientes a gestionar estos acuerdos sin tomar posesión de sus claves privadas.

Lopp concluyó advirtiendo de que tanto los actores maliciosos como los intermediarios bienintencionados podrían acabar obteniendo el control del Bitcoin de otra persona, dejando a los tenedores la responsabilidad de decidir cuánto control estaban dispuestos a ceder.