La cartera de Bitcoin Wasabi Wallet ha estado expuesta durante casi veinticuatro meses a un fallo de seguridad que permitía a ciberdelincuentes ejecutar código no autorizado en equipos con sistemas operativos macOS y Linux. La vulnerabilidad, introducida en febrero de 2024, permaneció sin corregir hasta marzo de 2026, cuando los desarrolladores finalmente lanzaron un parche.
El origen del fallo: enlaces manipulados y la función "Leer más"
El problema residía en la forma en que la aplicación procesaba los enlaces de los coordinadores de CoinJoin y la opción "Leer más". Un atacante podía crear un vínculo especialmente diseñado que, si el usuario lo copiaba al portapapeles y posteriormente hacía clic en "Leer más" desde la interfaz de Wasabi, provocaba que el sistema ejecutara instrucciones arbitrarias con los mismos privilegios de la víctima. Esta debilidad convertía cualquier máquina vulnerable en un blanco potencial para la inyección remota de órdenes.
Riesgos reales y alcance del incidente
Aunque no se han reportado públicamente robos masivos de fondos directamente vinculados a este fallo, la brecha representaba una amenaza significativa. Un atacante con éxito podía acceder a información almacenada en el dispositivo, comprometer datos de la cartera, extraer claves privadas, instalar software malicioso o llevar a cabo otras acciones no autorizadas. Es importante destacar que el agujero no afectaba al protocolo de Bitcoin ni a la tecnología CoinJoin en sí misma, sino únicamente a la aplicación Wasabi Wallet y su gestión de ciertos enlaces.
Corrección y controversia en torno al parche
La vulnerabilidad fue documentada públicamente el 16 de marzo de 2026 a través del reporte número 14410 en el repositorio oficial de Wasabi en GitHub. La solución se implementó mediante la solicitud de incorporación de cambios número 14411, que reforzó la validación de los enlaces y modificó la manera en que la aplicación los abría para impedir la ejecución de instrucciones maliciosas. Sin embargo, el caso ha estado rodeado de polémica: se ha señalado que el cambio fue realizado por un desarrollador anónimo cuyo historial de contribuciones fue posteriormente eliminado o alterado. Este aspecto, aunque relevante, debe diferenciarse de los hechos técnicos verificables sobre la vulnerabilidad.
Contexto más amplio: la seguridad de las herramientas de autocustodia
Este incidente se suma a otros recientes que han puesto bajo la lupa la seguridad de los instrumentos empleados para gestionar Bitcoin. Un ejemplo es el problema de generación de entropía detectado en determinadas versiones del firmware de Coldcard. Aunque los mecanismos de ataque y las causas son distintos, ambos casos evidencian un mismo riesgo: las vulnerabilidades en el software o firmware de una cartera pueden comprometer la seguridad de los usuarios incluso cuando la red Bitcoin y su protocolo funcionan con normalidad.
Lecciones para los usuarios
La experiencia con Wasabi Wallet recuerda la importancia de mantener actualizadas las aplicaciones de monedero digital y de ser cauteloso al interactuar con enlaces sospechosos. Aunque no se han constatado pérdidas masivas, la existencia de una brecha de dos años subraya la necesidad de auditorías de código periódicas y de transparencia por parte de los desarrolladores. La comunidad de criptomonedas sigue atenta a futuras revelaciones que puedan afectar la confianza en las soluciones de autocustodia.