Las actualizaciones desplegadas en agosto por Vultisig bloquean una vía que podía permitir la extracción de una clave privada ya comprometida mediante el envío repetido de mensajes maliciosos firmados con ECDSA. El problema aparecía cuando la aplicación ignoraba una condición crítica que debía detener el proceso.
El riesgo estaba en el proceso de firma
Según la información disponible, un firmante que ya hubiera sido comprometido podía intentar recuperar la clave privada generando numerosos mensajes maliciosos. El ataque se apoyaba en el comportamiento del sistema durante la firma digital y no en una operación ordinaria del usuario.
La vulnerabilidad estaba vinculada a ECDSA, el algoritmo de firma basado en criptografía de curva elíptica utilizado para validar mensajes y autorizar operaciones. En determinadas circunstancias, la aplicación no aplicaba una condición de parada considerada crítica. Esa omisión permitía continuar con el proceso y abría la puerta a la recuperación de la clave.
Las actualizaciones introducen el bloqueo
Las modificaciones publicadas en agosto incorporan el bloqueo de esa ruta de ataque. El cambio afecta al momento en que la aplicación debe interrumpir el proceso ante la condición señalada, evitando que un firmante ya comprometido pueda proseguir con la sucesión de mensajes maliciosos descrita.
La información difundida no detalla el número de usuarios afectados, el alcance de una posible explotación ni si se produjo la extracción de claves en casos concretos. El elemento central comunicado es que la combinación de un firmante previamente comprometido y la omisión de la condición crítica podía poner en riesgo la clave privada, mientras que las actualizaciones de agosto corrigen ese comportamiento.
