La actualización de seguridad de la IA de Sparrow revela el costo de tener tu propio Bitcoin.

El jueves, el desarrollador de Sparrow Wallet, un programa gratuito para almacenar Bitcoin de forma privada en la propia máquina del usuario, lanzó la versión 2.5.4. Parece ser una actualización de mantenimiento rutinaria: se han solucionado algunos problemas de seguridad, la validación del programa se ha mejorado y se han corregido algunos casos especiales relacionados con las carteras hardware. Lo inusual es cómo se realizó este lanzamiento: el desarrollador, Craig Raw…Procesó todo su código base mediante una revisión de seguridad con ayuda de la inteligencia artificial., yLa IA generó la mayor parte de los soluciones.El veredicto fue alentador: no se encontró nada que pudiera poner en riesgo los fondos, y no había evidencia de que alguien hubiera explotado esos problemas.

Esa calma no es lo importante. La verdadera historia es lo que motivó la revisión en primer lugar, y también lo que cuesta mantener una promesa, algo que toda la industria de Bitcoin debe hacer.

El evento que lo obligó a hacerlo.

A finales de julio, las carteras vinculadas a Coldcard, una cartera de hardware popular fabricada por Coinkite, comenzaron a perder valor en la cadena de bloques. La causa se debió a un cambio en el firmware ocurrido en marzo de 2021, que reorientó la generación de claves criptográficas desde el generador de números aleatorios del hardware hacia un generador basado en software. Para algunas carteras, esto redujo la solidez criptográfica de las claves privadas.De 128 bits a tan solo 40 bits.Es lo suficientemente débil como para poder ser explotado de forma bruta, sin que el dispositivo se vea afectado en absoluto. Según datos de la empresa de análisis de blockchain TRM Labs, aproximadamente 1,816 Bitcoin (que equivalen a unos 116 millones de dólares en ese momento), distribuidos en más de 5,200 direcciones, fueron robados en cuatro etapas. Esto convierte este incidente en el mayor caso de explotación de cartera hardware del año 2026.Coinkite ha instalado el firmware fijo en todos los modelos afectados.Se señaló que la exposición dependía de cómo se había creado el “seed” de cada usuario, y también de si una contraseña fuerte protegía esa información.

Lo importante aquí es el método sospechado, no solo el robo en sí. Coinkite dijo que creía que la IA podría haber ayudado al atacante a encontrar un defecto que había estado oculto durante más de cinco años.

La descripción de Raw y el episodio relacionado con Coldcard son claramente la razón por la cual existe Sparrow 2.5.4. Dijo que la revisión por parte de la IA se debió al lanzamiento de modelos de IA chinos sin restricciones, así como a la nueva capacidad de buscar en grandes bases de código posibles vulnerabilidades. Él mismo revisó cada problema que la IA había detectado. La secuencia es interesante: un producto de hardware pagado contenía un error que tenía cinco años de antigüedad y costaba nueve cifras; una aplicación de software gratuita respondió en pocas semanas, haciendo que una máquina escaneara todo lo que había sido distribuido anteriormente.

¿Qué efectos realmente tienen las soluciones?

El contenido de las correcciones es más revelador que el titular del artículo. Sparrow puede conectarse al nodo completo de Bitcoin del usuario, pero también funciona como un llamado “cliente ligero”: se basa en servidores públicos y gratuitos de Electrum para obtener información sobre los saldos y el historial de transacciones, en lugar de descargar todo el blockchain. El principal objetivo de esta actualización es reducir la cantidad de confianza que se debe depositar en esos servidores. Ahora, Sparrow verifica si la transacción que devuelve el servidor de Electrum es exactamente la misma que solicitó, comprueba las pruebas criptográficas que demuestran que la transacción realmente se ha registrado en el blockchain, verifica la prueba de trabajo en las nuevas transacciones recibidas, y confirma los encabezados de bloques verificados en puntos de control fijos. Lo mismo ocurre en otros lugares.Las carteras de hardware BitBox02 ahora requieren un firmware más reciente con protección contra robos activada.Se evita la filtración de claves privadas. Las credenciales de Bitcoin Core se ocultan en los registros de depuración. Los directorios de las carteras están protegidos por el propietario del archivo. Las fugas de datos en el DNS, cuando se realizan vías de enrutamiento a través de Tor, también se eliminan. Además, las verificaciones de mensajes encriptados se realizan en tiempo constante, para frustrar los ataques de timing.

Ese es el patrón: una limpieza del perímetro de seguridad, en la cual la mayor parte del trabajo se dedicó a desconfiar de los extraños.

El juego que se esconde debajo

Si retroceden un poco, pueden ver el mundo que describen estas soluciones. La autocustodia se presenta como la opción sin contraparte: sus propias claves, sus propias monedas; no hay banco entre ellos y el activo en cuestión. Pero una cartera es una cadena de confianza, no cero confianza. Todavía hay que confiar en el software, en el firmware del dispositivo que utiliza, en los servidores gratuitos que informan sobre lo que sucede en la red, y en sus propias costumbres operativas. Estas actualizaciones reducen los vínculos de confianza, convirtiendo “confiar en el servidor” en “verificar el servidor”.

Luego, fíjese quién paga por eso.Sparrow es un software gratuito y de código abierto. Fue desarrollado y mantenido, básicamente, por una sola persona.No cobra ningún costo y no emite ningún token. El valor que protege es enorme: una parte del mercado de activos, que asciende a aproximadamente 1.6 billones de dólares. Sin embargo, la capa que realiza esa protección no obtiene ningún beneficio. Coldcard es un contraste claro: se trata de un producto hardware pagado, vendido a un precio elevado. Pero sigue teniendo defectos graves, como la aleatoriedad en su funcionamiento. Estos defectos han sobrevivido durante cinco años, porque nadie, con ese tipo de estructura de costos, realizó auditorías adecuadas para detectar esos defectos. El valor en esta estructura no fluye hacia el software que la protege. Fluye hacia los fabricantes de hardware y, en última instancia, hacia el propio Bitcoin. La capa de cartera y verificación es un bien público, financiado por la buena voluntad y el tiempo invertido por un desarrollador individual.

Esa fragilidad se manifiesta de pequeñas formas. En junio, Apple estuvo a punto de cancelar por completo la cuenta de desarrollador de Raw.Una aplicación de advertencia que él creó para detectar los clon falsos de Sparrow. — Antes de que el recurso se resolviera,Lo que permitía que el control personal fuera posible en una plataforma convencional era la cuenta de una sola persona.

Lo que esto significa para un inversor

Para un inversor minorista, el caso de Coldcard y IA puede entenderse como una especie de “geografía del riesgo”. Si usted posee o pretende poseer Bitcoin a través de un custodio – ya sea una bolsa de valores, un fondo o un trust – está transferiendo toda esta cadena de seguridad a otra entidad. El riesgo que corre es por parte de esa entidad. Si opta por manejar los claves de seguridad por sí mismo, entonces conserva las claves, pero hereda toda la cadena de seguridad: software gratuito, revisión por voluntarios, firmware que no escribió él mismo, y servidores sobre los cuales quizás ni siquiera pensó.

La actualización de Sparrow representa un resultado positivo en cuanto al método de autocustodia: la respuesta fue rápida, gratuita y priorizó la seguridad. La IA, claramente, reduce los costos de defensa. La misma herramienta que utiliza la máquina para analizar todo el código de Sparrow, en cuestión de semanas, encontró algo que podría poner en riesgo los fondos de Sparrow. Lo incómodo es que la condición de “seguridad” está determinada por lo que pueden descubrir los atacantes con ayuda de la IA. Por otro lado, el lado defensivo no tiene recursos para competir en esa carrera. Estas soluciones fueron gratuitas, ya que Sparrow no tiene nada que cobrar. La auditoría se realizó porque un desarrollador decidió dedicar su tiempo a ello. Nada del modelo garantiza que esto continúe… y la curva de costos para los atacantes sigue disminuyendo.

Esa es la tensión útil que deja atrás este “releases”. No se trata de un problema técnico, y tampoco cambia la perspectiva de Bitcoin en cualquier gráfico. Se trata de un problema de costos: el mercado de activos más grande está protegido por un perímetro de seguridad con menos recursos. Cualquiera que decida entre pagar a un custodio o mantener sus propias claves, en realidad está eligiendo qué modo de fallo puede soportar y con qué se puede vivir. El changelog de Sparrow hace que esa elección sea más evidente.