Tu Cricut de $500 no es tuya: la bloquean a distancia y un hacker la revivió

Alguien tiró a la basura una Cricut Maker, una máquina de corte que cuesta más de $500. No estaba rota. Estaba bloqueada por la propia empresa que la fabricó. Y un hacker la resucitó con un chip de $4.

Esto no es una historia de un tipo con suerte. Es una demostración de cómo funciona la guerra silenciosa que las empresas tecnológicas le declaran a tu derecho de ser dueño de lo que compraste.

La máquina estaba perfecta. Cricut la condenó igual

La encontró xssfox, una investigadora de seguridad, en un contenedor de e-waste. Los rodillos estaban gastados — la única razón por la que alguien la descartó.

Pero al conectarla a la computadora, apareció el mensaje que Cricut reserva para sus "máquinas muertas": "Machine deactivated".

Cricut desactiva unidades de forma remota cuando el dueño recibe un reemplazo por garantía o un descuento. El problema: la máquina vieja queda convertida en basura electrónica aunque funcione perfectamente.

El hack: un proxy de $4 entre la máquina y tu PC

La investigadora no encontró una EEPROM grabable ni un debugger para el microcontrolador. Así que atacó el punto más débil: el cable USB.

La Cricut habla por USB CDC, sin checksum ni cifrado en los paquetes donde manda su número de serie. Capturó los mensajes con Wireshark y construyó un dispositivo con un Raspberry Pi Pico (RP2040) que se interpone entre la máquina y la computadora.

Ese proxy reescribe el número de serie en caliente. La computadora cree que está hablando con una Cricut nueva. Y funciona: la máquina apareció en la cuenta, pasó el autotest y quedó 100% operativa.

El costo total del rescate: 4 dólares en un chip que puedes comprar en AliExpress.

El problema de seguridad que nadie menciona

Aquí es donde la historia se pone incómoda. Los números de serie de Cricut son secuenciales y la propia empresa publica el estado de cada unidad en su página web.

Traducción: cualquiera podría generar números de serie válidos, registrarlos en su cuenta y bloquear la máquina de otra persona. O peor, robar la garantía de un desconocido.

No hace falta ser un genio. La misma herramienta que resucitó esta máquina es la que podría matar la tuya.

El patrón que ya conoces: pagas y no eres dueño

Esto no es exclusivo de Cricut. Los fabricantes de impresoras bloquean cartuchos con chips DRM. Apple repara "en cadena" para que no toques tu iPhone. John Deere litigó años para que no arreglaras tu propio tractor.

En Latinoamérica el drama es peor: muchas veces no existe servicio técnico oficial, y una máquina bloqueada de $500 es directamente dinero perdido.

Cuando el hardware depende de un servidor de la empresa para funcionar, no compraste una máquina. Compraste una suscripción disfrazada de objeto físico.

La solución no es solo el hack: es la ley. El derecho a reparar avanza en Europa y en varios estados de EE.UU., pero las empresas siguen encontrando huecos legales para bloquear lo que vendieron.

Mi opinión: esto debería indignarte

La investigadora no compartió el código por miedo a las leyes australianas de copyright. Ese es el nivel de absurdo al que llegamos: te pueden demandar por arreglar tu propia máquina.

Cada Cricut bloqueada que termina en e-waste es un recordatorio de que las empresas tratan tu compra como un préstamo revocable.

Comparte esto con alguien que tenga una Cricut, una impresora o un tractor. Porque la próxima máquina bloqueada podría ser la suya.

¿Alguna vez una empresa te bloqueó un dispositivo que pagaste? Cuéntalo en los comentarios.