La solicitud de corrección de errores de Ledger y Trezor durante los 90 días es, en realidad, una lucha por la confianza.

Ledger y Trezor, las dos principales empresas fabricantes de carteras físicas, piden a los investigadores de seguridad que retengan sus hallazgos durante hasta 90 días antes de publicarlos. Es una solicitud que parece procedimental, pero en realidad no lo es. Para estas dos empresas, la afirmación pública de que “tus claves están seguras en nuestro dispositivo” no es una estrategia de marketing; es simplemente un aspecto del producto. La disputa sobre quién controla esa información se ha convertido en el problema económico central relacionado con la custodia propia de las claves.

Novecientos días de tranquilidad.

El 7 de septiembre, Charles Guillemet, el director de tecnología de Ledger, publicó una carta abierta en la que propuso que la “divulgación coordinada de vulnerabilidades” sea una práctica estándar en la industria. Según este modelo, un investigador reporta una vulnerabilidad en privado; la empresa confirma ese informe y acuerda un cronograma para resolverla. Ambas partes permanecen en silencio hasta que se publique una solución para el problema.Con 90 días como ventana base.Solo entonces se produce una divulgación completa de la información. Jan Komarek, jefe de seguridad de Trezor, apoyó esta iniciativa y añadió una cláusula de equidad: si el vendedor no cumple con el plazo acordado, el investigador tiene derecho a publicar la información de todos modos. La Foundation y AnchorWatch, dos empresas más pequeñas que se dedican al tema del Bitcoin, también firmaron el acuerdo. El modelo es conocido: los investigadores de seguridad han señalado que…Los espejos marcan el plazo de divulgación de Project Zero por parte de Google..

La carta no representa tanto un cambio en el comportamiento de Ledger como un intento de hacer que la industria lo adopte. El programa de recompensas de Ledger ha operado durante años una política formal de revelación coordinada de 90 días; paga a los investigadores en bitcoín… Y, en un detalle significativo…Se rechazan los informes generados por IA que carecen de análisis humano significativo.Lo que Guillemet realmente quiere es una norma a nivel de toda la industria, que sea definida por los líderes del mercado.

Los efectos del cazado de insectos

El impulso tiene una causa inmediata, y es instructivo. A finales de agosto, una empresa de seguridad especializada en IA llamada TestMachine publicó que “todos los Ledger que ejecutan la aplicación Ethereum”…Es vulnerable a ataques de sustitución de transacciones.Guillemet respondió que Ledger había descubierto y resuelto el problema por sí mismo, antes de que el artículo se publicara. Un equipo de la empresa rival, OneKey’s Anzen, dijo que…Se reprodujo el ataque en el laboratorio contra una versión antigua del software; Ledger lo rechazó.Como pruebas contra una versión obsoleta. Guillemet describió esta publicación prematura como “”.Buscar la atención a expensas de otra persona.."

Esto no es una disputa trivial. Ocurre en medio de situaciones de inseguridad relacionadas con el control propio de las personas.Se cree que se ha filtrado aproximadamente 4,000 bitcoins (unos 320 millones de dólares) desde la cadena líquida de Blockstream.Un incumplimiento relacionado con un proveedor de servicios de envío de Trezor, que creció…Exponer los detalles de contacto de aproximadamente 81,000 clientes., ySe informaron robos de Coldcard que superaron los 100 millones de dólares.Para una categoría cuyo principal valor es la confianza, cada titular de noticias puede ser una forma de tranquilizar a los clientes, o bien una razón para que los usuarios actúen con pánico y movan sus fondos. Los estafadores aprovechan rápidamente ese pánico.

La economía en el contexto de la seguridad

Si se elimina el lenguaje procedimental, surge un cambio estructural. La forma en que Guillemet describe las cosas es así: la IA ha convertido la seguridad en un juego de “gato y ratón”, con “muchos más gatos”. Por eso, el plazo límite es importante. Cuando encontrar errores era un proceso lento y manual, los investigadores eran un recurso escaso y difícil de encontrar. La IA hace que encontrar e incluso explotar los defectos sea rápido y fácil, lo que reduce el tiempo entre la aparición de una vulnerabilidad y su explotación. Eso es lo que hace peligrosa la publicación prematura: al vendedor de seguridad se le pide que defienda sus argumentos frente a un arma que otra persona puede construir en pocos días. La regla de 90 días está diseñada para darle al vendedor tiempo para corregir los problemas antes de que esa arma esté disponible.

Pero esa regla no es neutra. Favorece a aquellos que pueden resolverlo más rápido. Ledger y Trezor cuentan con equipos de seguridad dedicados al 100% de su tiempo, y generalmente se entregan los productos dentro del plazo establecido. A un investigador individual, a quien se le paga en términos de reputación en lugar de salario, se le pide que entregue el valor al vendedor primero y confíe en el proceso. El modelo convierte una economía basada en la atención, donde la carrera de un investigador depende de ser el primero en hablar, en un proceso estructurado en el que las empresas grandes y bien equipadas son las más aptas para ganar. La cláusula de liberación de Komarek es la barrera que mantiene el acuerdo honesto, pero no cambia quién tiene el control más fuerte.

Eso es importante porque depende de cuán valiosa sea la garantía de seguridad en relación con el hardware utilizado. Todo el negocio relacionado con las carteras digitales recopila…En la orden de medio mil millón a tres cuartos de mil millón de dólares al año.Es un error de redondeación que ocurre junto al valor de las monedas que las personas confían en estos dispositivos. El fabricante de carteras recibe un pago una vez en el punto de venta; no obtiene ningún porcentaje de los activos que protege. Por lo tanto, sus márgenes dependen casi exclusivamente de la disposición de confiar en ellos. Los costos continuos incluyen también una competencia permanente en materia de seguridad, impulsada por la inteligencia artificial. La verdadera “barrera” no es el chip de seguridad, que se obtiene a partir de materiales comunes; sino la credibilidad de la historia de seguridad, la calidad del equipo de seguridad interno y la distribución que permite que miles de dispositivos estén protegidos.

Ninguna de las dos empresas está cotizada en el mercado público, por lo que no existe un símbolo bursátil para seguir de cerca. Lo que este requerimiento ofrece a los inversores es una visión más clara de la capa de autocustodia utilizada por estas empresas. Ledger y Trezor aprovechan sus capacidades operativas para establecer las reglas del “juego del confianza”. Probablemente, lo hagan con sinceridad: la divulgación coordinada realmente reduce los riesgos relacionados con el phishing y el pánico que surgen debido a la excesiva expectativa, y además protege a los usuarios. Este mismo enfoque también sirve para proteger el activo más valioso de ambas marcas de las amenazas que crecen más rápidamente. La pregunta importante para cualquiera que quiera evaluar esta capa de seguridad no es cuál empresa encontró ese error esta semana. Es si alguna fabricante de hardware puede mantener la afirmación de que su producto es “seguro” a un precio que la gente esté dispuesta a pagar, cuando la inteligencia artificial hará que todos los defectos sean fácilmente detectables. Y las dos empresas que responden a esa pregunta de la manera más eficiente son precisamente las que establecen las reglas.