Cómo nació la controversia
En 2023, el periodista de WIRED, Andy Greenberg, publicó una investigación donde el equipo de IOActive —liderado por Joseph Tartaro junto a Enrique Nissim y Ethan Shackelford— mostró que la DeckMate 2 podía ser vulnerada si alguien obtenía acceso físico a su puerto USB. Con ese acceso, alteraron el firmware y explotaron la cámara interna del equipo para conocer el orden completo del mazo, lo que permitiría “control total” para hacer trampa en juegos como Texas Hold’em. La presentación se enmarcó en Black Hat Las Vegas.
La pieza de WIRED detalla que el vector incluye: USB expuesto bajo la mesa, contraseñas débiles en el software, y la posibilidad de burlar el hash de integridad en el arranque del dispositivo; además, menciona que algunos modelos cuentan con módem celular de telemetría, que —en teoría— podría abrir otra vía de ataque si se manipula la conexión. El regulador Nevada Gaming Control Board no respondió a la solicitud de comentarios, y la IGSA indicó que revisaría los hallazgos.
La respuesta del fabricante
Light & Wonder (propietaria de la línea DeckMate) respondió a WIRED que “ninguna barajadora ha sido comprometida en un casino” y que las pruebas de IOActive se realizaron en condiciones de laboratorio. También sostuvo que no se identificaron “defectos de diseño” en la DeckMate 2. IOActive replicó que es prácticamente imposible asegurar que nunca se haya comprometido un equipo, y mostró correos en los que el fabricante agradecía los hallazgos y planificaba correcciones.
En el seguimiento mediático de 2025, tanto CardPlayer como PokerNews reportaron que Light & Wonder aseguró haber actualizado el firmware de todas las DeckMate a sus clientes sin costo; no obstante, al no estar conectadas, esas actualizaciones requieren visita técnica en sitio.
La demostración de 2025: del laboratorio a un juego real (controlado)
En octubre de 2025, WIRED publicó un episodio de Hacklab —con Andy Greenberg y Joseph Tartaro, y la participación del experto en integridad Sal Piacente— donde, en un entorno controlado (escuela de dealers en Las Vegas), mostraron tres escenarios:
- “Casino Royale”: reordenamiento del mazo para repartir manos específicas.
- Mazo “a prueba de corte”: un algoritmo que hace ganar siempre a una posición aunque se corte el mazo.
- Lectura secreta del mazo: acceso a la cámara interna y envío por Bluetooth a un teléfono, con señalización al jugador.
El objetivo fue evidenciar posibilidades técnicas, no afirmar que eso suceda en casinos.
¿Dónde está (realmente) el mayor riesgo?
La cobertura de PokerNews recoge la opinión del propietario de sala Doug Polk: el riesgo mayor no sería una sala regulada, sino juegos privados o equipos de mercado secundario sin mantenimiento del fabricante, donde controles, sellos y custodias son más débiles.
Qué está claro y qué falta por probar
Confirmado por fuentes técnicas y del fabricante:
- La vulnerabilidad demostrada exige, en la práctica, acceso físico (p. ej., al USB) o una cadena logística vulnerable; con ello, es posible leer el orden del mazo e incluso reordenarlo.
- Light & Wonder afirma cero compromisos en casinos y señala parches/actualizaciones desplegados a clientes; esas puestas al día requieren técnicos en sitio.
Aún abierto al debate:
- La dificultad operativa real para ejecutar el ataque sin ser detectado en un ambiente fuertemente vigilado (cámaras, pit bosses, inventarios, sellos). WIRED subraya que su experimento no se realizó en una mesa de casino en vivo.
- La uniformidad y cobertura de las actualizaciones en todo el parque instalado a nivel mundial. La logística varía por país y operador.
Medidas de mitigación que hoy recomiendan expertos y reguladores
- Control físico estricto: sellar y bloquear el USB (tapones sellados, tornillería de seguridad), con cadena de custodia documentada para cada intervención técnica.
- Endurecimiento de firmware: exigir firmado de código y verificaciones criptográficas robustas (no solo hash), como sugiere la discusión en WIRED y IGSA.
- Auditorías periódicas: conciliación entre inventario de equipos, estado de firmwa
- Segmentación de riesgos: evitar compras o alquileres en mercado secundario sin garantía y exigir técnicos certificados del fabricante.
Conclusión
La DeckMate 2 permanece como estándar en mesas de póker, pero su superficie de ataque —principalmente el USB y la cámara interna— ha quedado documentada por IOActive y WIRED. Light & Wonder sostiene que no hay incidentes en casinos y que ha actualizado sus equipos, aunque la efectividad de esa cobertura depende de la implementación en campo. Para operadores y organizadores, la clave práctica es reducir al mínimo el acceso físico, blindar puertos, y exigir firmware firmado y mantenimiento certificado. La controversia no trata de crear alarma, sino de cerrar brechas antes de que alguien las explote.
