Chivo wallet está presentando problemas de privacidad

Actualización 10/09/21: Esta nota fue actualizada para agregar que el problema de privacidad sobre la publicación de información personal del usuario fue corregido.

Como toda aplicación nueva, los bugs o errores están a la orden del día en la Chivo Wallet. Luego de su puesta en marcha, se ha descubierto que algunos de estos bugs no solo afectan la experiencia de uso, sino que comprometen, en gran medida, la privacidad de sus usuarios.

El recopilatorio de algunos de los fallos fue realizado por Matt Ahlborg (@MattAhlborg) quien es jefe de investigación de Bitrefill. Luego de realizar algunas pruebas con Chivo Wallet, Matt publicó desde su Twitter alguno bugs, de los cuales considera que son “comportamientos no estándar de las carteras de Bitcoin”.

Uno de los más graves errores que está presentando la cartera Chivo se encuentra al momento de crear las facturas de pago de Lightning. Esto debido a que, la información de la factura generada muestra el nombre completo del usuario propietario de la cartera. Según destaca el propio Matt, esto sería un problema grave de privacidad que “debería resolverse”. No obstante, este problema fue corregido, según destaca el propio Matt, cuya información, ahora, solo muestra un mensaje de agradecimiento.

Otro punto importante en el ámbito de privacidad es que, según un tuit citado por Ahlborg, se tiene que Chivo Wallet, en su versión para Android, solicita acceso al micrófono y lista de contactos. Cabe aclarar que un comportamiento “normal” de una cartera de Bitcoin, no se requiere ningún tipo de acceso a este tipo de información o periféricos.

Matt considera que este problema pudo ser uno de los causantes de que se haya tardado en listar dentro de la Play Store de Android.

Problemas de uso en Chivo Wallet

Al ser una app muy reciente, es posibles encontrar fallos con respecto a la experiencia de uso. En este ámbito, Matt destaca errores como es el caso de escanear facturas con monto definido, ya que, si bien ya la cantidad a enviar es fija, la aplicación solicita de igual manera que se ingrese el total a enviar. Esto causa que la aplicación arroje un mensaje de error.

Otro bug está en la compatibilidad de las facturas. Según la investigación de Ahlborg, al intentar escanear una factura de Bitrefill, se produce un error de factura invalida. Si bien podría ser un error puntual de compatibilidad entre Chivo y Bitrefill, Matt aclara que “sospecha que esto está sucediendo con otras carteras de Lightning Network” al ser usadas junto con Chivo.

Por otra parte, Matt destaca un error que puede afectar de forma negativa la experiencia de uso de Chivo Wallet, en este caso, para los menos diestros en el uso de carteras Bitcoin. Esto se debe a que, esta cartera descuenta la tarifa por transacción del total a enviar y no del restante dentro de la cartera. Por ejemplo, si se está envían 0,0001 BTC con una tarifa de 0,000005, el receptor al cual se envía desde Chivo Wallet, recibirá 0,000095 BTC.

En casos de uso, como el ejemplo de Bitrefill utilizado por Ahlborg, en el que es necesario enviar un monto exacto, el usuario debe calcular el total, sumando la tarifa de red más el monto neto a enviar. Según Ahlborg, estos no son comportamiento estándar de una cartera Bitcoin.

Chivo no responde por la pérdida de fondos debido a fallas del sistema

Si bien Chivo ha estado presentado problemas, hay un aspecto a considerar y es que, según se muestra en sus términos y condiciones, la aplicación, y en consecuencia el gobierno de El Salvador, no se hacen responsables de “daño, perjuicio o perdida causado al usuario por fallas en el sistema, en el servidor en internet, o en Chivo Wallet” que terminen causando la pérdida de fondos.

Si bien los términos y condiciones hacen referencia a la no responsabilidad sobre los fondos perdidos, estos podrían extrapolarse a que Chivo no se hace responsable ante el “robo” de información personal causado por una mala seguridad y protección de datos por parte de Chivo. Esto, tomando en consideración los actuales fallos de privacidad que está sufriendo la app.