Coldcard, fabricante de monederos de hardware para bitcoin (BTC), ha confirmado que su cuenta oficial en X publicó y después borró un mensaje con un enlace de phishing en la madrugada del 11 de octubre. La empresa afirma que está investigando el incidente y ha pedido a la plataforma que conserve los registros pertinentes.
En un comunicado, Coldcard reiteró que su único sitio web oficial es coldcard.com e instó a los usuarios a no interactuar con ningún enlace difundido a través de la publicación comprometida. La empresa dijo que mantiene una autenticación de dos factores (2FA) offline con acceso estrictamente restringido desde 2017, y que una revisión de sus sistemas no encontró registros de inicio de sesión o acceso correspondientes a la publicación fraudulenta. Coldcard afirmó que sus credenciales y su sistema de 2FA offline siguen siendo seguros.
A pesar de esa valoración, la empresa expresó su preocupación por que el acceso no autorizado pudiera haberse producido a nivel de la plataforma o administrativo, y no a través de su propia infraestructura. Coldcard dijo que tiene conocimiento de informes sobre la supuesta venta de acceso a cuentas administrativas en mercados de la darknet, pero añadió que no puede verificar de forma independiente ninguna relación con su caso.
Un ataque dirigido, interrogantes a nivel de plataforma
Coldcard describió el incidente como un ataque aparentemente dirigido y muy específico, y ha pedido a X que lleve a cabo una investigación inmediata a través de su equipo de seguridad. La empresa se ha comprometido a compartir nuevas actualizaciones verificadas a través de su cuenta de X a medida que avance la revisión, al tiempo que advierte a los usuarios de que traten con sospecha cualquier publicación o enlace inesperado de la cuenta hasta que se resuelva el asunto.
Para los usuarios de toda Europa que confían en monederos de hardware para mantener sus bitcoins offline, el episodio es un recordatorio de que el eslabón más débil de la seguridad de la custodia puede estar fuera del propio dispositivo, en las cuentas de redes sociales que las empresas utilizan para comunicarse con sus clientes. Una sola publicación comprometida, incluso si se elimina en pocos minutos, puede bastar para dirigir a los usuarios hacia un enlace malicioso si no verifican la fuente de forma independiente.
Un historial bajo escrutinio
El hardware de Coldcard ya ha sido objeto de escrutinio en materia de seguridad anteriormente. Una vulnerabilidad en el generador de números aleatorios utilizado en versiones más recientes del firmware de los monederos Coldcard permitió previamente a atacantes robar más de 2.000 BTC en varias oleadas de ataques, un caso no relacionado con el incidente actual de la cuenta de X, pero que ha mantenido las prácticas de seguridad de la empresa bajo estrecha vigilancia por parte de la comunidad de bitcoin.
Coldcard no ha dado un plazo para la conclusión de su investigación sobre la publicación en la cuenta de X, ni ha detallado qué salvaguardas adicionales, si las hay, planea introducir para su presencia en redes sociales.
