El coreano majo

¿Qué es exactamente el chip que lleva dentro un monedero de cripto típico, ese donde «se firma la transacción»?

Tienes en la mano un monedero hardware corriente y dentro hay un chip. Un chip es un miniordenador. No es un fichero que guarda tu clave privada ni tu frase semilla. No es un almacenamiento protegido con contraseña.

Es un miniordenador. Hace algo ahí dentro, pero nadie sabe realmente el qué. El código fuente del chip no se publica.

Así que el cuadro queda así. Tú mismo investigas a la empresa que fabricó el monedero, quizá incluso revisas el código de la interfaz, apuntas y guardas tus semillas tú mismo, y entonces dices: «El ingenuo aquí soy yo, así que que mi clave privada la procese un microordenador cerrado donde no tengo ni idea de lo que pasa».

Eso es absurdo en su esencia misma.

Es como jugar un partido de fútbol durante 89 minutos controlándolo todo, vigilándolo todo, en alerta permanente y cubriéndote por todos lados, y en el último minuto salir del campo sin más, porque «lo dice el protocolo y lo hace todo el mundo». Y el entrenador rival te tranquiliza diciendo que de todas formas el balón no va a salir del campo.

Entregas tu clave privada al ordenador de otro, y no tienes ni idea de cómo funciona, de cómo funcionaba, de cómo funcionará, de qué hace exactamente ni de cómo ocurre nada de eso ahí dentro.

Es el clásico truco de barrer el problema debajo de la alfombra. La gente quiere contratar a alguien de la limpieza, pero tiene miedo: ¿y si me vacía la casa?

Así que surge una idea: contratemos a la persona de la limpieza a través de una «empresa de limpieza», porque una empresa responde más. Que en esa empresa trabaje exactamente la misma persona del anuncio de ayer es algo que la cabeza prefiere no admitir. Ni tampoco que la responsabilidad de una sociedad limitada puede arrancar con un capital social simbólico.

Aquí pasa exactamente lo mismo.

01

¡Y la clave privada supuestamente no se puede extraer de ahí!

Mi pregunta ante eso es siempre la misma: ¿y tú cómo lo sabes? En serio, ¿cómo lo sabes TÚ? «¡Hombre, lo han decidido los expertos!». ¿Qué expertos, has tomado café con ellos? ¿Qué te hizo decidir que son expertos? ¿Que tienen HSA+ y HDSFA++ en el nombre? ¿Cuantas más letras, más serio será?

Pongamos que tienes una tienda de cafeteras en tu país. ¿Te conoce alguien en el extranjero? Muy posiblemente ni siquiera te conozca todo el mundo en tu propia ciudad.

Ahora piensa por qué conoces tú a la empresa SUPER SECURITY HSA+ HDFSA++ de Estados Unidos, la que licenció ese superchip. ¿Crees que son especialistas tan famosos en el mundo entero que los conoce todo el mundo, o es sencillamente una empresa a la que alguien te señaló con el dedo, muy a propósito, en un artículo patrocinado?

Además, mira los coches TESLA. ¿Tienen su propio equipo de expertos en seguridad? Es de suponer que sí. Y aun así aparecen diez equipos de todo el mundo en el hackatón Pwn2Own y revientan ese Tesla en dos días. ¿Cómo pasa eso? ¿Cómo es que el equipo de seguridad de Tesla se sigue dejando al elefante en la habitación a oscuras?

Así que no sorprende que al cabo de un tiempo el fundador de Ledger diga en público: si la policía lo necesita, podemos extraer la clave privada de nuestro monedero con microchip. Y todos: «Vaya. Menuda sorpresa». No es ninguna sorpresa. Lo que cuesta creer de verdad es que alguien piense que un colega encargó una auditoría a otro colega para que el segundo escribiera: es un fenómeno de la seguridad.

Así que entregar tu clave privada al microordenador de otro, después de todo el esfuerzo que te costó ganar ese dinero, es como decir: «He ganado 10 millones, pero el ingenuo soy yo, así que que alguien tenga la bondad de custodiarme el dinero». En vez de cuidarlo tú mismo.

02

Ah, sí. ¿Qué pasaba con aquel ingeniero coreano?

Imagínatelo: hay una fábrica en Corea donde se hacen estos chips. Todos los servicios de inteligencia del mundo saben que allí se fabrican chips. El gobierno coreano sabe que allí se fabrican chips, chips en los que se guardarán miles de millones en bitcoin. Todos los operarios y la mafia local también lo saben. Y es en esa misma línea de producción donde los montan y les graban el firmware.

Y tú vas y dices: «¡Genial! Voy a coger una caja negra de esa cinta transportadora, un microordenador, y a meter ahí mis bitcoins».

03

Deja de fiarte de cajas negras. Guarda tus claves en un soporte que entiendas y cífralas tú mismo.

+