Fallo en el firmware de Blockstream Jade: un host malicioso podía corromper su memoria
A quién afecta
Una Jade con firmware 1.0.24–1.0.36, desbloqueada y conectada a un ordenador o teléfono comprometido o a una página web maliciosa, podía bloquearse o ser obligada a ejecutar código limitado. Blockstream afirma que los usuarios de su propia aplicación en un dispositivo limpio no corrían un riesgo inmediato y que no se conoce ningún usuario afectado.
Qué pasó
El 5 de diciembre de 2025 Blockstream anunció que el firmware 1.0.38 de Jade activa la protección contra reversiones (anti-rollback) debido a una posible vulnerabilidad en firmwares anteriores al usarse con aplicaciones o plataformas de terceros maliciosas, descubierta y comunicada de forma responsable por el grupo de investigación DARKNAVY. La divulgación completa llegó el 16 de diciembre de 2025.
Según Blockstream, el fallo es la falta de una comprobación de tamaño al procesar el mensaje CBOR que se pasa a la RPC register_descriptor, añadida en el firmware 1.0.24. Una solicitud manipulada puede sobrescribir la pila del dispositivo y provocar un bloqueo o, con un ataque sofisticado, una ejecución de código limitada; Blockstream dice que un exploit futuro podría, en el peor de los casos, extraer la clave secreta, pero que el dispositivo no puede alterarse de forma permanente. La explotación requiere que la Jade esté inicializada y desbloqueada a través de la misma interfaz USB o Bluetooth, y debe lanzarla un malware en el host o una página web a la que se haya concedido acceso WebUSB. El modo QR no está afectado.
Blockstream dice que DARKNAVY se puso en contacto a principios de agosto de 2025 y envió un informe completo a principios de octubre, que confirmó el problema en 24 horas, publicó la corrección en 1.0.37 el 13 de noviembre y añadió la protección contra reversiones en 1.0.38 aproximadamente una semana después. Menciona el firmware de Original Jade, Jade 1.1 y Jade Plus. Las dos publicaciones de Blockstream difieren sobre 1.0.36: la del 5 de diciembre dice que el análisis muestra que no es vulnerable, mientras que la divulgación del 16 de diciembre incluye de 1.0.24 a 1.0.36 entre las versiones afectadas; CryptoSlate informa de que la ejecución de código era posible en 1.0.24 a 1.0.35 y no podía descartarse en 1.0.36.
Qué recomienda Blockstream:
- Actualiza al firmware 1.0.38 o posterior desde fuentes oficiales y mantén actualizados la aplicación complementaria y el sistema operativo.
- Si el host puede estar comprometido, haz una copia de seguridad de la frase de recuperación y restablece la Jade a los ajustes de fábrica antes de conectarla, o actualízala desde un dispositivo que se sepa limpio.
El firmware es el software que se ejecuta en la propia billetera de hardware: genera las claves, muestra los detalles de la transacción en pantalla y firma.
Read full definitionJade es una billetera hardware de Blockstream, diseñada para almacenar de forma segura las claves privadas de Bitcoin sin conexión, garantizando transacciones seguras y protección contra amenazas en línea.
Read full definitionUna clave privada es el número secreto que demuestra la propiedad de una dirección cripto y firma sus transacciones. Quien la tiene controla los fondos.
La conectividad Bluetooth permite la comunicación inalámbrica entre dispositivos, como billeteras de hardware y smartphones, utilizando Bluetooth o Bluetooth Low Energy (BLE) para la transferencia segura de datos.
Read full definitionEl malware es software malicioso que roba o desvía criptomonedas, por ejemplo registrando pulsaciones, cambiando direcciones copiadas o leyendo archivos de billeteras.
Read full definitionWebUSB es una API de navegador que permite a las aplicaciones web comunicarse directamente con billeteras de hardware conectadas por USB para transacciones criptográficas seguras sin necesidad de complementos o aplicaciones nativas.
Read full definitionUna copia de seguridad en criptomonedas es una copia segura de la frase semilla o las claves privadas de una billetera. Permite la recuperación de fondos si la billetera original se pierde o se daña.
Read full definitionUna frase mnemotécnica es un conjunto de palabras que almacena las claves privadas de una billetera de criptomonedas, permitiendo a los usuarios recuperar el acceso si se pierden.
Read full definitionFuentes
Información e investigaciones independientes con las que se verificó esta entrada.
Más información
Guías para protegerse de este tipo de incidente (Vulnerabilidad de firmware) y los términos del glosario que lo describen.
¿Pueden ser hackeadas las billeteras hardware?
Las billeteras hardware son extremadamente seguras, pero no invulnerables. Entiende los riesgos reales y los vectores de ataque.
Leer guía¿Es realmente seguro un monedero hardware?
Los monederos hardware son la opción más segura para la mayoría de las personas, pero aún puedes cometer errores. Esto es lo que necesitas saber.
Leer guíaFirmware
El firmware es el software que se ejecuta en la propia billetera de hardware: genera las claves, muestra los detalles de la transacción en pantalla y firma.
Bootloader
Un bootloader es un pequeño programa que inicializa el hardware y carga el sistema operativo o firmware principal de un dispositivo, a menudo utilizado en billeteras de hardware blockchain para un inicio seguro.
Actualización de Firmware
La Actualización de Firmware instala nuevo software de bajo nivel en una billetera hardware para corregir errores, mejorar la seguridad o agregar características en dispositivos de criptomonedas.
Citar esta entrada
WalletInsights. «Fallo en el firmware de Blockstream Jade: un host malicioso podía corromper su memoria». Registro de incidentes de seguridad en hardware wallets. Última verificación: 3 de noviembre de 2026. https://walletinsights.io/es/security-incidents/blockstream-jade-register-descriptor-memory-corruption-2025/
Correcciones y derecho de réplica
Fabricantes, investigadores y lectores pueden enviar correcciones o comunicados a security@walletinsights.io. Los contrastamos con las fuentes, actualizamos la entrada y anotamos el cambio en su registro.