Reseña de Cake Wallet

Cake Wallet vale la pena instalarla hoy y es peligroso seguir usando la de antes de mayo de 2021: cualquier billetera de bitcoin creada en una versión anterior a la v4.1.7 tiene que abandonarse, no solo actualizarse. Esas versiones generaban semillas de bitcoin de 12 palabras usando la función Random() ordinaria de Dart en lugar de Random.secure(), y los investigadores de Milk Sad midieron el resultado en aproximadamente 20 bits de entropía imposible de adivinar donde se pretendían más de 120. Eso se puede romper por fuerza bruta, y ya se ha roto por fuerza bruta.

Aquí se mezclan dos eventos distintos, así que manténgalos separados. Cake divulgó su propio generador de números aleatorios débil en mayo de 2021, publicó la v4.1.7 parcheada y les dijo a los usuarios que movieran sus fondos con urgencia. Milk Sad es una vulnerabilidad diferente, en la herramienta libbitcoin-explorer, divulgada públicamente en agosto de 2023. Los investigadores de Milk Sad se toparon con el error anterior de Cake en julio de 2023 mientras trabajaban en el suyo, le dedicaron una sección corta en su informe principal y más tarde publicaron un desglose técnico completo de él. En el camino retuvieron la divulgación durante meses y ayudaron a Cake a publicar una actualización de la aplicación que detecta y advierte a los usuarios afectados. Su rastreo sitúa unos 548,9 BTC moviéndose por 8.757 billeteras débiles entre 2020 y 2024, y describe los movimientos posteriores como barridos en su mayoría automatizados de personas que nunca actuaron sobre la advertencia de 2021.

La billetera en sí es buena. Es de código abierto bajo una licencia MIT, de autocustodia, y no recopila telemetría ni datos de cuenta; Cake dice que más de 1.750.000 personas la usan. Empezó en 2018 como la primera billetera de Monero de código abierto en iOS y ahora es multiactiva, manejando Monero, bitcoin, Lightning, Litecoin, Ethereum, Solana, Zcash, Bitcoin Cash y una docena de cadenas más desde una sola aplicación. Del lado de bitcoin admite silent payments y PayJoin, y agrega Litecoin MWEB, firma con hardware Ledger, su propia opción de dos factores, Tor para todo el tráfico y conexión a su propio nodo. La página de descargas de Cake ofrece iOS, Android a través de la Play Store, un APK directo y Accrescent, además de compilaciones para Windows y Linux.

Así que lo que hay que revisar no es la aplicación que usted instala hoy, que está bien. Es cualquier semilla de bitcoin que haya creado en Cake hace años. Si fue antes de la v4.1.7, genere una billetera nueva y saque todo de ella, hoy mismo. Las billeteras de Monero nunca estuvieron afectadas: la falla vivía solo en la ruta de generación de claves de bitcoin.