La app de Bitkey usaba un generador aleatorio no criptográfico para registrar contactos
A quién afecta
Los usuarios de Bitkey de segunda generación que registraron Recovery Contacts o beneficiarios de herencia utilizaron secretos generados con un generador aleatorio predecible. Bitkey afirma que el error no podía por sí solo dar acceso a los fondos y que no se explotó contra ningún cliente.
Qué pasó
El 2 de agosto de 2026 Bitkey, la billetera de bitcoin de Block, reveló un error comunicado el día anterior por el usuario de X @1440000bytes. La página de actualizaciones de seguridad de Bitkey recoge el mismo problema como BKS.2026.08.D y atribuye la comunicación a floppy.md.
Según Bitkey, su aplicación móvil generaba con kotlin.random.Random, un generador de uso general no diseñado para usos criptográficos, los secretos cortos utilizados para registrar Recovery Contacts y beneficiarios de herencia, así como los nonces de las pruebas de acción de segunda generación. En condiciones muy concretas, un atacante que observara suficientes salidas relacionadas podía reconstruir su estado y predecir un secreto de registro posterior. Bitkey dice que el error está en la aplicación, no en el hardware ni en el firmware, y que solo afecta a los usuarios de segunda generación que usaron el registro de relaciones, un flujo lanzado a finales de abril de 2026.
Bitkey afirma que el error no debilita la clave del hardware, la clave del servidor ni las claves de gasto, y que, como las billeteras usan firma 2 de 3, ni siquiera una explotación con éxito daría lo suficiente para mover fondos; califica el riesgo práctico como nulo para los Recovery Contacts y como muy improbable para los beneficiarios, ya que requeriría un amplio acceso a la infraestructura de Block. Dice que los registros de sus servidores no muestran actividad interna del tipo que dejaría un ataque. La corrección pasa a usar un generador criptográficamente seguro; la página de actualizaciones de seguridad de Bitkey la sitúa en la aplicación 2026.11.2. Crypto Briefing informa de que el parche se envió a ambas tiendas de aplicaciones el 1 de agosto y de que Bitkey celebró un X Space público sobre el problema el 2 de agosto.
Qué recomienda Bitkey:
- Mantén la aplicación actualizada.
- Los usuarios de segunda generación con un beneficiario de herencia deben volver a registrar al beneficiario después de actualizar.
Bitcoin (BTC) es la primera criptomoneda descentralizada, lanzada en 2009. Utiliza la tecnología blockchain para transacciones digitales seguras entre pares sin intermediarios.
Read full definitionUn nonce es un número secuencial en una transacción de blockchain que asegura que las transacciones de la misma cuenta se procesen en orden y previene ataques de repetición.
Read full definitionEl firmware es el software que se ejecuta en la propia billetera de hardware: genera las claves, muestra los detalles de la transacción en pantalla y firma.
Read full definitionLa criptomoneda es una moneda digital o virtual asegurada por criptografía, que opera en redes blockchain descentralizadas para habilitar transacciones seguras de igual a igual.
Fuentes
Información e investigaciones independientes con las que se verificó esta entrada.
Más información
Guías para protegerse de este tipo de incidente (Vulnerabilidad de software) y los términos del glosario que lo describen.
Cómo Proteger Tu Cripto de los Hackers
Pasos prácticos para proteger tu criptomoneda de hackers, malware, fraudes y ataques de ingeniería social.
Leer guíaCómo Enviar Cripto de Forma Segura
Enviar cripto puede dar miedo — una dirección incorrecta y los fondos desaparecen para siempre. Sigue esta guía para enviar de forma segura.
Leer guíaMalware
El malware es software malicioso que roba o desvía criptomonedas, por ejemplo registrando pulsaciones, cambiando direcciones copiadas o leyendo archivos de billeteras.
Blind Signing
Blind signing es el proceso de firmar una transacción sin ver su contenido, típicamente utilizado en billeteras de hardware para una seguridad mejorada.
Citar esta entrada
WalletInsights. «La app de Bitkey usaba un generador aleatorio no criptográfico para registrar contactos». Registro de incidentes de seguridad en hardware wallets. Última verificación: 3 de noviembre de 2026. https://walletinsights.io/es/security-incidents/bitkey-relationship-enrollment-weak-randomness-2026/
Correcciones y derecho de réplica
Fabricantes, investigadores y lectores pueden enviar correcciones o comunicados a security@walletinsights.io. Los contrastamos con las fuentes, actualizamos la entrada y anotamos el cambio en su registro.