Los recientes hackeos de cuentas en Twitter han sido un boom en la red social, con varias cuentas hackeadas como la de Coinbase, Binance, Bill Gates, CoinDesk y hasta la propia Twitter Support. Todo esto dejan en claro que el ataque ha sido un ataque bien coordinado y trabajado, con el objetivo de llevar a cabo una estafa a gran escala que hasta el momento se ha hecho con más de 100 mil dólares y ha dejado varias víctimas. Víctimas que han confiado en los perfiles verificados que fueron usados ilegalmente para promover esta estafa.
Sin embargo, el ataque que aún está bajo investigación por parte de Twitter y los afectados, ha traído consigo otro hecho curioso que ha quedado grabado para siempre en la blockchain de Bitcoin. Estamos hablando de dos transacciones que llevan un curioso mensaje entre el ruido de los hackeos a Twitter. La primera transacción y segunda transacción llevan el mismo mensaje grabado en las direcciones Bitcoin, del tipo Vanity Address a las que se han enviado unos pocos satoshis.
El mensaje en cuestión es claro y dice lo siguiente:
“Just read all transactions output as text, you take risk when use Bitcoin for your Twitter game, Bitcoins traceables, why not Monero”
Qué en español lo podemos traducir como:
“Simplemente lee todas las transacciones como texto, a esto te arriesga cuando usas Bitcoin para tu juego en Twitter, los bitcoins son rastreables, ¿Por qué no usar Monero?”
Ciertamente el mensaje es lo suficientemente curioso para prestar mucha atención a ello, pero lo más curioso es la forma en cómo ha sido enviado, usando direcciones Bitcoin claramente generadas que contienen las palabras para este mensaje.
Un curioso medio para mandar un claro mensaje a los hackers
Para quienes llevan tiempo en el mundo Bitcoin, les será fácil reconocer este tipo de direcciones, pero para los recién llegados, estamos hablando de Vanity Address. Las Vanity Address son un tipo de dirección de Bitcoin que podemos generar a petición usando algún servicio o software especial para ello. La finalidad es muy sencilla: crear una dirección Bitcoin que tenga un patrón elegido por nosotros como forma de personalización.
Las Vanity Address pueden generarse de forma gratuita en algunos servicios hasta un determinado nivel, pero llegados a un punto, estas direcciones tienen un costo. ¿La razón? Generar estas direcciones requiere de un poder computacional enorme y un largo trabajo de fuerza bruta para generar tanto la dirección como las claves públicas y privadas asociadas. Por que después de todo, una dirección Bitcoin sin clave pública y privada, es una clave sin utilidad.
Por supuesto, puedes llegar descargar el software y generar la clave con tu propio poder computacional, pero si la dirección a generar es muy compleja, eso podría llevarte desde unos cuantos días a millones de años si no tienes el poder de cómputo necesario para crearlas.
Sin embargo, lo raro es que este mensaje enviado a los hackers ha usado varias Vanity Address que van desde 11 caracteres personalizados (1JustReadALL1111111111111114ptkoK) hasta los 25 caracteres personalizados (1YouTakeRiskWhenUseBitcoin11cGozM). Una situación que abre rápidamente la pregunta ¿Acaso quienes crearon estas Vanity Address tienen el poder computacional necesario para en cuestión de horas generar estas claves personalizadas? ¿De ser así cómo afecta esto la seguridad de Bitcoin y de sus usuarios?
Direcciones generadas haciendo trampa
La respuesta a la primera pregunta es que dudosamente esto pueda ser cierto. Las direcciones de Bitcoin son generadas usando un proceso criptográfico muy seguro que dudosamente pudo haber sido roto. Hablamos que el génesis de toda dirección Bitcoin es una clave privada ECDSA que luego genera una clave pública.
Esta clave pública pasa por un proceso de codificación en el que usan las funciones hash RIPEMD-160 y SHA-256, con el fin de reducir su tamaño y evitar que la clave pública pueda ser vista directamente. En todo el proceso se usa criptografía altamente probada y con una seguridad ampliamente reconocida, y es lo que ha mantenido seguros los saldos de Bitcoin de sus usuarios por más de 10 años.
Pero este proceso de generación puede ser evitado, para generar direcciones válidas de Bitcoin, a las que podemos enviar dinero, pero que jamás podremos usar porque esta “trampa” no genera ni la clave pública ni la clave privada ECDSA de esa dirección. Para probar este punto usaremos la siguiente cadena como ejemplo “1MyVanityAddressxxxxxxxxxxxxxxxxx”. Como ven esta cadena es una cadena personalizada, y aplicaremos el proceso para volverla una dirección válida de Bitcoin.
En primer lugar, usaremos un decodificador Base58 que nos dará el siguiente resultado: “0003F77A201F20EDFABA39DCB6FB20D7DEDAC6D5A9F521DC11”. De esta cadena los ocho últimos caracteres los haré a un lado “0003F77A201F20EDFABA39DCB6FB20D7DEDAC6D5A9” y sobre este resultado aplicare un SHA-256 del tipo binario. El resultado obtenido es este hash SHA-256, “ceeb665e3f12dfac7ab540c920558c81e2a1adcab04ffd28fd378f47f4d9895f”. Sobre este mismo hash aplico otra vez el mismo SHA-256 y obtengo “f197f8f57097c8017415ddee702f675ba743f093bfbbbd155e88ea2d43577c0e”
Continuando con el proceso, al último hash le tomó los primeros ocho caracteres “f197f8f5”, estos serán mi checksum. Estos caracteres se los agregare al final de esta cadena “0003F77A201F20EDFABA39DCB6FB20D7DEDAC6D5A9” y me quedará “0003F77A201F20EDFABA39DCB6FB20D7DEDAC6D5A9F197F8F5”. Finalmente, solo me queda tomar esta cadena y codificar la misma usando Base58, lo que me dará por resultado mi dirección de Bitcoin válida, la dirección “1MyVanityAddressxxxxxxxxxxxxsigrx”. Como ven una Vanity Address generada a mano, de la cual no tenemos clave pública ni privada, pero que es igualmente válida para la red.
Esta es la trampa que han usado las personas que han enviado este curioso mensaje por medio de estas dos transacciones Bitcoin. Esto además significa que esas direcciones solo pueden recibir dinero, pero jamás podrá retirarse, ya que, sin las claves privadas, manejar los fondos dentro de esas direcciones es imposible.
La respuesta a la segunda pregunta es que esto no tiene ningún impacto en la seguridad de Bitcoin. Generar direcciones de esta forma no nos da acceso en ningún momento a las claves ECDSA que dieron origen a la misma, así que podemos estar tranquilos, Bitcoin no ha sido hackeado, ni su seguridad está en peligro por los momentos.
El peor caso, sin embargo, es que las direcciones vanity de esas transacciones lleguen a movilizar ese dinero, en ese caso, podríamos decir que la seguridad de Bitcoin ha sido herida letalmente. Pero eso es algo muy improbable que suceda,
De lo que no queda duda es; que quienes envían el mensaje lo hacen con el conocimiento de que este hackeo en Twitter y las estafas subsiguientes han dejado un rastro imposible de borrar. Cada transacción en Bitcoin es pública y queda guardada de forma inalterable, y eso es un punto importante para dar con la identidad de quien o quienes han realizado este ataque. El hecho seguramente será investigado por la comunidad y se llegará al fondo del asunto, mientras tanto a la comunidad Bitcoin se le ha dejado un mensaje en el que pensar ¿Está lo suficientemente protegida la privacidad y el anonimato en Bitcoin?
Sigue leyendo:
- Las cuentas de Twitter de Elon Musk, Kanye West y Bill Gates fueron hackeadas por ladrón de Bitcoin
- Un supuesto ataque coordinado en Twitter atenta contra Binance, CZ, Gemini y otros
- Justin Sun ofrece una recompensa de 1 millón de dólares por los hackers de Twitter
- El Bitcoin se mantiene por encima de la marca de los USD 3.450 dólares mientras las criptos principales muestran ligeras pérdidas
- Ministerio de Ciencia de Corea del Sur anuncia iniciativa blockchain de capacitación juvenil de seis meses
- Bitcoin Cash cae 13 por ciento mientras las principales criptomonedas caen con fuerza