Electrum Wallet: probabilidad real de crackear un archivo cifrado local

Introducción

Electrum es una de las carteras ligeras de Bitcoin más utilizadas. Su diseño guarda un archivo de cartera en el almacenamiento local del dispositivo y, cuando el usuario activa la contraseña, protege la semilla y las claves privadas mediante criptografía. Una pregunta frecuente es: si un atacante obtiene ese archivo, ¿cuál es la probabilidad de crackearlo? La respuesta no es un número fijo. Depende de la entropía de la contraseña, del costo del algoritmo de derivación, de la versión de Electrum, de los recursos del atacante y de si el dispositivo final está comprometido.

Este artículo es educativo y se centra en el análisis de riesgo y en la recuperación legítima de carteras propias. No describe técnicas para vulnerar carteras ajenas.

Qué se almacena y qué se cifra

En una cartera Electrum cifrada, la semilla o las claves privadas se almacenan cifradas. Electrum emplea cifrado simétrico, históricamente AES-256-CBC en formatos clásicos, y deriva la clave de cifrado a partir de la contraseña mediante scrypt, una función de derivación deliberadamente costosa en memoria y CPU. El objetivo es que cada intento de contraseña sea relativamente lento, lo que reduce la velocidad de un ataque de fuerza bruta.

El archivo local también puede contener metadatos, direcciones, etiquetas, historial de transacciones y otra información. Dependiendo de la versión y de la configuración, algunos de esos datos pueden estar en claro o parcialmente visibles. Sin embargo, sin la contraseña correcta no debería ser posible descifrar la semilla ni firmar transacciones.

Si la cartera no está cifrada, no hay que crackear nada: el problema es directamente crítico. Si el dispositivo está comprometido mediante malware, keyloggers, capturas de memoria o backups inseguros, la probabilidad de compromiso se acerca a 1 sin necesidad de romper la criptografía.

La fórmula básica de probabilidad

Para entender la probabilidad de crackeo hay que separar dos cosas: la probabilidad de adivinar la contraseña y la probabilidad de romper el cifrado por criptoanálisis. La segunda es insignificantemente pequeña con la tecnología actual. La primera depende del espacio de contraseñas y del presupuesto del atacante.

Si una contraseña se elige de forma uniforme entre N posibilidades, y el atacante prueba t contraseñas sin repetición, la probabilidad de éxito es:

P(t) = 1 - (1 - 1/N)^t ≈ t/N, para t mucho menor que N.

El número esperado de intentos para acertar es aproximadamente N/2. La entropía de la contraseña se mide en bits: H = log2(N). Si el atacante puede probar R contraseñas por segundo, el tiempo esperado de ataque es aproximadamente N/(2R).

Este modelo es simplificado. En la realidad, el atacante no conoce la distribución exacta de contraseñas del usuario y suele usar diccionarios, reglas de mutación y contraseñas filtradas. Por eso, una contraseña que parece aleatoria para una persona puede ser muy predecible para una máquina.

El papel de scrypt y AES-256

AES-256 no tiene ataques prácticos conocidos que permitan recuperar una clave en tiempo razonable con computación clásica. scrypt añade una barrera adicional: cada intento de contraseña consume tiempo y memoria, lo que encarece masivamente el ataque por fuerza bruta. Esto significa que la probabilidad de vulnerar el archivo por debilidades matemáticas del cifrado es extremadamente baja.

La consecuencia práctica es importante: en una cartera Electrum correctamente cifrada, el eslabón débil no suele ser AES ni scrypt, sino la contraseña elegida por el usuario y la seguridad del entorno donde se guarda el archivo. Un atacante con el archivo cifrado no tiene una puerta trasera criptográfica; tiene que adivinar la contraseña o comprometer el dispositivo antes, durante o después del uso de la cartera.

Escenarios de probabilidad según la contraseña

La siguiente tabla ofrece estimaciones aproximadas para ilustrar el efecto de la entropía. No son valores universales, porque la velocidad real depende de la implementación de scrypt, del hardware y de la estrategia del atacante.

| Tipo de contraseña | Entropía aproximada | Espacio N | Evaluación general |
| --- | --- | --- | --- |

| 6 dígitos numéricos | ~20 bits | 1 millón | Trivial con ataque offline. |
| 8 letras minúsculas | ~37.6 bits | ~2.1 × 10^11 | Difícil, pero posible si el KDF es débil o el atacante tiene mucho tiempo. |
| 4 palabras BIP39 | ~44 bits | ~1.76 × 10^13 | Muy difícil con scrypt; inviable para atacantes comunes. |
| 6 palabras BIP39 | ~66 bits | ~7.4 × 10^19 | Inviable con criptografía y KDF correctos. |
| 12 caracteres aleatorios alfanuméricos | ~71 bits | >10^21 | Inviable en la práctica. |

Como ejemplo ilustrativo, si un atacante pudiera probar solo 100 contraseñas por segundo debido al costo de scrypt, una contraseña de 6 dígitos caería en unas 1.4 horas en promedio; una de 8 letras minúsculas tardaría unos 33 años; una de 4 palabras BIP39 superaría los 2,700 años; y una de 6 palabras BIP39 requeriría miles de millones de años. Si la tasa fuera 1,000 intentos por segundo, esos tiempos se dividirían por diez. La conclusión no cambia: la entropía manda.

Factores que modifican la probabilidad

Aumentan la probabilidad de éxito del atacante:

• Contraseñas cortas, comunes, reutilizadas o basadas en patrones predecibles.
• Contraseñas presentes en filtraciones anteriores.
• Parámetros débiles de scrypt en versiones antiguas o configuraciones no estándar.
• Malware, keyloggers, capturas de memoria o backups sin cifrar.
• Cartera sin cifrar o semilla exportada en texto claro.
• Dispositivo con sistema operativo desactualizado o sincronización insegura en la nube.

Reducen la probabilidad de éxito del atacante:

• Contraseñas largas y aleatorias, preferiblemente passphrases de 6 o más palabras.
• scrypt con parámetros actuales y software Electrum actualizado.
• Uso de hardware wallet, donde la clave privada no queda expuesta en el archivo local.
• Sistema operativo actualizado, disco completo cifrado y backups offline.
• Multifirma y separación de fondos por nivel de riesgo.

¿Existe una probabilidad exacta?

No. Para calcular una probabilidad exacta habría que conocer la distribución real de contraseñas del usuario, el poder de cómputo del atacante, los parámetros exactos de scrypt, la versión de Electrum, posibles vulnerabilidades de implementación y el estado de seguridad del endpoint. En la práctica se trabaja con modelos de amenaza y estimaciones de entropía.

Para una contraseña aleatoria de alta entropía y un archivo cifrado correctamente, la probabilidad de crackeo por fuerza bruta es negligible. Para una contraseña débil, la probabilidad puede ser alta. Y si el dispositivo está comprometido, el atacante puede obtener la contraseña o la semilla sin necesidad de crackear el archivo.

Buenas prácticas y conclusión

La probabilidad de crackear un archivo local de Electrum no depende de una sola cifra. La criptografía AES-256 y scrypt hacen que el ataque directo sea impracticable cuando la contraseña es fuerte. El riesgo real se concentra en contraseñas débiles, malware, backups inseguros y errores operativos.

Para proteger fondos: use una passphrase larga y única, mantenga Electrum actualizado, prefiera una hardware wallet para montos importantes y guarde la semilla offline. En resumen, con una contraseña robusta y un dispositivo seguro, la probabilidad práctica de crackeo es extremadamente baja; con una contraseña débil o un endpoint comprometido, puede ser cercana a cero esfuerzo para el atacante.