La compañía, con sede en Toronto, explicó en un comunicado que analizó sus sistemas críticos con inteligencia artificial, incluso semanas antes de los ataques, y que después del incidente volvió a probar el código con varios modelos avanzados, sin que ninguno identificara el fallo.
Según Coinkite, el error se encontraba en la interacción entre dos submódulos no relacionados y no en el código principal ni en la lógica criptográfica, áreas en las que suelen concentrarse las revisiones.
La empresa pidió a otros fabricantes que examinen especialmente las conexiones entre módulos.
Galaxy Research calcula que tres oleadas confirmadas y otros incidentes menores sustrajeron 1.596 bitcoins de unas 7.300 direcciones, por un valor superior a 100 millones de dólares estadounidenses. Una cuarta oleada sin confirmar elevaría el total a 2.055 bitcoins, valorados en unos 130 millones de dólares estadounidenses.
Un monedero Coldcard es un pequeño dispositivo físico, parecido a una calculadora, que sirve para proteger las claves que permiten acceder a los bitcoins.
El monedero Coldcard no guarda los bitcoins dentro: estos permanecen registrados en la red de Bitcoin. Lo que conserva sin conexión a internet es la información secreta de la que deriva la frase de recuperación, una serie de palabras que funciona como una llave maestra para acceder a los fondos y autorizar operaciones.
El ataque explotó un fallo presente en versiones del firmware distribuidas desde marzo de 2021. Los atacantes pudieron reconstruir las claves privadas y acceder a los fondos sin tocar físicamente los dispositivos.
El consejero delegado y cofundador de Coinkite, Rodolfo Novak, se disculpó el viernes y asumió plena responsabilidad por el fallo. La empresa dijo que está cooperando con las fuerzas de seguridad de varias jurisdicciones.