Presunta falla en Cake Wallet permite desviar pagos de bitcoin
Un investigador de seguridad publicó un informe el 24 de octubre sobre una presunta falla en Cake Wallet, que permitiría desviar pagos de bitcoin hacia un atacante cuando el usuario acelera una transacción pendiente. La falla se relaciona con la función RBF (reemplazar por comisión), que crea una copia de la transacción con una tarifa más alta.
Cake Wallet no usa sus propios registros para crear la copia, sino que consulta un servidor Electrum. La app no verifica que los datos recibidos coincidan con los solicitados por el usuario. El investigador compara la situación con pedir una copia de un cheque a un tercero sin revisar el beneficiario.
Dos perfiles de atacante se identifican: operador del servidor Electrum o intermediario en la red. La app aceptaría cualquier certificado de seguridad, sin verificar que el servidor sea quien dice ser. El modo Tor integrado de Cake Wallet sí verifica el servidor, por lo que esa vía quedaría cerrada.
El usuario no tendría forma de notar la falla si el servidor responde con honestidad inicialmente. El informe incluye una prueba de concepto ejecutada en una red de pruebas local de Bitcoin. La prueba mostró que el reemplazo falsificado fue aceptado y confirmado, enviando el pago a la dirección del atacante.
El autor no ejecutó la prueba contra la app instalada en un dispositivo ni hay registros de robos confirmados. El investigador usó herramientas de inteligencia artificial para investigar, armar la prueba y redactar el informe. Cake Wallet aseguró en su foro oficial que lleva años auditando ese tipo de código y que intensificó revisiones con modelos de IA.
El informe fue publicado cinco días después de enviarlo, acusando al equipo de estar más ocupado con el marketing. El informe propone que la app verifique que la transacción recibida corresponda a la solicitada y muestre en pantalla lo que realmente va a firmar. Los usuarios pueden evitar la opción de acelerar la comisión, activar el modo Tor o conectarse a un servidor Electrum propio o de confianza.