El modo Delta PIN del COLDCARD permitía recuperar una clave privada a partir de dos firmas

El 29 de septiembre de 2025 la empresa de seguridad Karma-X publicó un aviso en el que anunciaba una vulnerabilidad no divulgada en las billeteras de hardware Coldcard que, según dijo, afectaba al firmware actual y podía provocar la pérdida de fondos o la exposición de claves. Una publicación actualizada el 30 de septiembre de 2025 identificó el problema como un fallo en el Delta Mode, la función de PIN de coacción (trick PIN) pensada para que un desbloqueo forzado parezca normal.

Según Karma-X, el fallo permitía recuperar por completo la clave privada de Bitcoin a partir de dos firmas de transacciones, en un escenario en el que un atacante consigue que la víctima firme dos veces. Su informe técnico completo requiere una cuenta, por lo que solo este resumen es público. El historial de divulgaciones de Coinkite confirma el informe: atribuye a Nathan Landon haber mostrado que la implementación del Delta PIN permitía recuperar la clave privada a partir de dos firmas de transacciones y dice que Coinkite publicó un parche el mismo día. El commit público del firmware titulado “deltamode timing fix” cambia la forma en que el Delta Mode calcula los hashes que firma.

Coinkite indica que el problema está corregido en el firmware 5.4.4 (Mk4/Mk5) y 1.3.4Q (Q), ambos publicados el 30 de septiembre de 2025; las notas de versión públicas de esas versiones no lo mencionan. La primera publicación de Karma-X describía como afectados todos los dispositivos Coldcard con el firmware actual, mientras que Coinkite enumera las familias de versiones Mk4/Mk5 y Q.