Una vulnerabilidad en la cartera de hardware Coldcard, descubierta por un modelo de IA por aproximadamente 2 dólares, está obligando a repensar la economía de la seguridad en toda la industria del hardware cripto. El fallo, que podría haber permitido a un atacante extraer claves privadas bajo ciertas condiciones, fue encontrado con una facilidad asombrosa y un costo mínimo.
Según una actualización de mercado de WuBlockchain, el socio gerente de Dragonfly, Haseeb Qureshi, compartió detalles del incidente y señaló que muestra cómo la IA está remodelando la economía de las pruebas de seguridad de productos. Introdujo lo que él llama una métrica de «Costo de Descubrimiento», que mide cuán barato puede un modelo de frontera reproducir una vulnerabilidad.
El descubrimiento de 2 dólares
Qureshi estimó el costo de descubrimiento del fallo de Coldcard en alrededor de 2 dólares. Un intento reportado usando Claude Code tomó solo ocho minutos, aunque advirtió que la velocidad pudo haber sido influenciada por el acceso a búsqueda web. Una prueba separada sin conexión con el modelo GLM reprodujo el problema en unos 20 minutos, confirmando que la vulnerabilidad no dependía de búsquedas en internet en tiempo real.
Las cifras son impactantes porque se supone que las carteras de hardware son la última línea de defensa para los poseedores serios de cripto. Un fallo que cuesta calderilla encontrar socava la suposición de que la auditoría rigurosa y costosa es la única forma de romper un dispositivo. Señala que la curva de costos para el descubrimiento de vulnerabilidades se está colapsando.
Costo de Descubrimiento y sus implicaciones
La nueva métrica de Qureshi no es solo un ejercicio académico. Proporciona una cifra en dólares cruda que los fabricantes de hardware pueden comparar con sus propios presupuestos de pruebas internas. Si un fallo puede ser detectado por 2 dólares, entonces cualquier adversario con buenos recursos—o incluso un investigador curioso—puede automatizar la búsqueda y escalarla a través de múltiples versiones de firmware o modelos de dispositivos.
Esto traslada la carga a los fabricantes de carteras. Ahora enfrentan un futuro donde la seguridad no puede depender de la oscuridad del código embebido o del alto costo de la ingeniería inversa. En cambio, deben asumir que las herramientas de IA sondearán cada lanzamiento, y que el tiempo entre una actualización de firmware y una divulgación pública de vulnerabilidad podría reducirse a horas, no semanas.
El incidente también presiona a los programas de recompensas por errores. Los pagos que antes parecían generosos pueden parecer inflados cuando el costo de encontrar un error es insignificante. Las empresas tendrán que decidir si recompensar los descubrimientos asistidos por IA de bajo costo en absoluto, o reestructurar los incentivos para priorizar la gravedad sobre la novedad del método.
La creciente huella de la IA en el cripto
El evento de Coldcard llega en un momento en que la IA está permeando casi todos los rincones del mercado cripto. UXLINK y Origins Network se están asociando para impulsar aplicaciones Web3 escalables impulsadas por IA, mientras que redes de almacenamiento como Filecoin están atrayendo atención debido a la creciente demanda de almacenamiento de datos de IA en cadena. El entusiasmo en torno a los activos temáticos de IA también sigue siendo fuerte, con NFTs BRC-20 como $X@AI encabezando las listas de ventas semanales.
Pero el caso de Coldcard muestra un lado más crudo de esta integración. La IA no solo está impulsando nuevos casos de uso de tokens; está reescribiendo el manual de seguridad para la capa de infraestructura que salvaguarda miles de millones de dólares en activos digitales. Para los fabricantes de carteras de hardware, el foso competitivo ya no se trata solo del diseño de chips o elementos sellados—ahora incluye la velocidad y el costo de la auditoría asistida por máquinas.
Lo que sigue sin estar claro
Sigue siendo una pregunta abierta si otras carteras de hardware ampliamente utilizadas enfrentarán descubrimientos igualmente baratos. Coldcard es conocida por su enfoque de código abierto y solo Bitcoin, lo que puede hacer que su base de código sea más fácil de analizar que algunas alternativas de código cerrado. Pero la línea de tendencia es inconfundible: los modelos de IA de frontera se están volviendo más rápidos y baratos, y su aplicación a las pruebas de seguridad solo va a intensificarse.
También hay incertidumbre sobre si los datos de costo de descubrimiento fluirán hacia los marcos regulatorios. Si una vulnerabilidad puede ser encontrada por calderilla, ¿debería ser más bajo el listón para la divulgación obligatoria o el retiro? Ese debate aún no ha comenzado, pero los eventos que rodean este fallo de 2 dólares sugieren que no pasará mucho tiempo antes de que lo haga.
Lectura relacionada: MANTRA detiene su blockchain tras un exploit mientras el token se desploma a un mínimo histórico.
