Si la semilla nació de un firmware con un defecto de entropía, el atacante no necesita robarte nada: reconstruye la clave y firma una transacción perfectamente válida. Esta aplicación inventaría de dónde viene cada una de tus claves, la contrasta con los avisos publicados y te dice qué hacer, con evidencia.
Por qué existe
El protocolo Bitcoin no fue vulnerado en ninguno de los dos. Y aun así, ambos cambiaron el riesgo real de miles de personas.
Ciertas versiones de firmware generaban semillas con mucha menos entropía de la esperada. El dispositivo siguió fuera de línea todo el tiempo; las claves eran, sencillamente, reconstruibles. Actualizar el firmware no repara una semilla ya creada.
Un proveedor logístico expuso datos de pedidos. Ni una clave comprometida, pero con nombre, teléfono y dirección el phishing deja de ser genérico y pasa a ser creíble. La superficie de una wallet incluye a quien la usa.
Una clave con 32 bits de azar y otra con 256 producen direcciones idénticas en forma. No hay análisis público que las distinga. La única respuesta es saber cómo nació cada clave: fabricante, modelo, firmware y método.
Qué hace
Cada hallazgo trae qué ocurre, por qué ocurre, la evidencia que lo sostiene y los pasos de remediación —tomados del aviso del fabricante cuando existe.
📘 Ficha completa de las 26 reglas →
| Código | Detecta | Severidad |
|---|---|---|
BTC-KEY-001 | Semilla creada con firmware afectado por un aviso | Crítica |
BTC-KEY-002 | No se puede demostrar con qué firmware nació la clave | Alta / media |
BTC-KEY-003 | Origen de entropía desconocido | Media |
BTC-CUSTODY-001 | Alto valor bajo una sola clave | Crítica |
BTC-CUSTODY-002 | Multisig sin diversidad de fabricantes | Alta / media |
BTC-TX-001 | Gasto observado sin aprobación conocida | Crítica |
BTC-NODE-001…004 | Nodo caído, sin sincronizar, aislado o con mempool saturado | Alta / media |
BTC-PRIVACY-001 | Acceso masivo a datos de clientes | Crítica / media |
Wallets, firmantes, fabricante, modelo y firmware al crear la semilla. Nunca claves.
Rangos afectados por modelo y canal, con su fecha de verificación a la vista.
Once métodos de consulta en allowlist. Firmar, enviar o desbloquear se rechaza antes de salir.
Cada acción incluye el hash de la anterior: alterar el pasado rompe la cadena y se detecta.
La prueba
En cada cambio, la integración continua arranca la aplicación real y le intenta entregar semillas, mnemónicos, passphrases y claves privadas extendidas. Si alguna vez las aceptara, la compilación falla y ese cambio no se publica.
$ node scripts/check-security-claims.js ok allowlist RPC solo de lectura (11 métodos) ok RPC remoto rechazado por defecto ok bind por defecto en loopback ok watchtower apagado por defecto ok cabecera CSP self-only ok mutación sin cabecera local rechazada ok material secreto rechazado (seed) ok material secreto rechazado (mnemonic anidado) ok material secreto rechazado (passphrase) ok material secreto rechazado (xprv en texto libre) ok procedencia pública aceptada Invariantes de seguridad verificados: 20 comprobaciones.
En cada release, el instalador se instala en silencio y la aplicación instalada tiene que responder con inventario. Un binario que pesa lo esperado puede abrirse vacío; aquí eso no llega a publicarse.
El motor Node.js oficial se descarga y se comprueba contra su SHA-256
publicado. La versión exacta y su hash quedan escritos dentro del propio
paquete, en BUILD-INFO.json.
Honestidad
Un detector que no declara sus límites produce una falsa sensación de cobertura. En custodia de bitcoin, eso cuesta dinero real.
Instalar
No hace falta tener Node.js instalado ni permisos de administrador. Verifica
siempre la descarga contra SHA256SUMS.txt antes de ejecutar nada.
Instalación por usuario, accesos directos y desinstalador. Los datos quedan aparte del programa, así que actualizar no los pisa.
Descomprimir y ejecutar. Ideal para equipos donde no se instala software o para auditar el contenido antes de usarlo.
Windows, Linux y macOS con Node 22.12 o superior. Sin
npm install, porque no hay nada que instalar.
PS> Get-FileHash .\RootCause-Bitcoin-Defense-0.2.0-win-x64-setup.exe -Algorithm SHA256 $ git clone https://github.com/vladimiracunadev-create/rootcause-bitcoin-defense $ node src/server.js → http://127.0.0.1:8787
Familia RootCause
Causa raíz con evidencia, todo local, telemetría cero y los límites por delante. Cada edición lleva esa idea a su dominio.
Sistema operativo: CPU, disco, red, procesos, autoarranque y servicios. Rust.
Navegador: cookies, sesiones, extensiones, descargas y permisos. JavaScript sin dependencias.
Android e iOS: consumo por app, stalkerware y permisos. Flutter.
Custodia Bitcoin: procedencia de claves, avisos de firmware y gasto fuera de política. Estás aquí.