El hackeo de Coldcard demuestra que la reputación no vale un centavo en seguridad ¡Prepárate para sorprenderte!

Nadie sabe bien cuánto le pegó la presión de las licencias al cambio apresurado que hicieron, pero la neta también había razones técnicas legítimas para moverle al código. Lo que sí está más claro y es bien grave: cambiaron la licencia para limitar a los demás, y justo después hicieron un cambio rápido en un código criptográfico que ya estaba probado y confiable. Y en ese cambio vino el pedo que ahora está vaciando las carteras. La onda del software libre y abierto es para que la seguridad no dependa de las decisiones de una sola empresa. No puede haber excepción por personalidad.

Los compas que se atrevieron a echar ojo sobre el asunto la neta también la pasaron mal. En agosto del 2020, unos investigadores de Shift Crypto y Nunchuk reportaron una falla en la verificación multisig de Coldcard. Coinkite aceptó el fallo y sacó un parche, pero NVK, en un podcast, llamó a ese aviso “terrorismo de relaciones públicas” y hasta puso en duda si un investigador sin CVE es realmente profesional. En 2023, cuando el proyecto WalletScrutiny tuvo broncas repitiendo versiones antiguas de Coldcard, la respuesta fue acusarlos de incompetentes o malintencionados, y hasta amenazaron con demandas. Luego, una revisión independiente confirmó que sí había problemas para reproducir esas versiones, y que nadie actuó con mala leche.

Cuando se le avienta mala onda a un investigador en público, la neta desmotiva al siguiente. Revisar código es lento, complicado y no paga ni un peso. Un investigador que piensa en meses de chamba y se arriesga a que lo troleen, lo bloqueen o lo metan en broncas legales, mejor se va a otro pedo. No se puede decir que esta onda causó directamente el error del entropy bug, pero está clarísimo que la seguridad depende de que la banda quiera darle ojo a las cosas, y en el rollo de Coldcard castigan justamente eso: querer ver qué no funciona.