Un desarrollador que investigaba el origen de la aleatoriedad en las carteras Coldcard descubrió que el componente encargado de generar claves privadas dependía de una biblioteca poco conocida, mantenida por un autor anónimo y con apenas seis estrellas en la plataforma de código. Al alertar sobre la posible vulnerabilidad, la respuesta fue que si hubiera un problema ya se habría detectado. El programador confió y no insistió. Catorce meses después, miles de carteras fueron vaciadas. Esa brecha entre lo que se revisó y lo que realmente existía es lo que ahora se conoce como deuda de auditoría, y esta semana se ha vuelto tangible en dólares.
El origen de la falla: una integración defectuosa
El incidente no se debió a una ruptura criptográfica, sino a un error de integración en ciertas versiones del firmware de Coldcard. El dispositivo empleó un generador pseudoaleatorio de baja calidad en lugar del generador físico de hardware, reduciendo la entropía de las semillas lo suficiente para que un atacante pudiera reconstruirlas mediante fuerza bruta sin acceder físicamente al aparato. La falla se remonta a marzo de 2021, y aunque un usuario del grupo de Telegram de la empresa ya cuestionó en abril de ese año el reemplazo de un código auditado de Trezor por una biblioteca con menos historial de revisión, la advertencia no fue atendida. Coinkite, la empresa detrás de Coldcard, afirma que ni sus auditorías internas ni externas detectaron el error en más de cinco años.
La inteligencia artificial como detonante
El escenario cambió radicalmente cuando la inteligencia artificial abarató el costo de encontrar vulnerabilidades. Charles Guillemet, director de tecnología de Ledger, explicó que un sistema perfecto obtendría veinte sobre veinte, pero basta una sola falla explotable para que saque cero. La mayoría de los sistemas bien construidos vivían en diecinueve, pero esa falla restante era costosa de encontrar. Ahora, modelos de IA pueden recorrer enormes bases de código en horas por un precio irrisorio, encadenando condiciones que un revisor humano jamás probaría juntas. El diecinueve sigue siendo diecinueve, pero hoy vale cero. Según un informe de CrowdStrike de agosto de 2026, el 88% de las fallas con prueba de concepto pública fue explotado en las primeras 48 horas durante el primer semestre del año, y algunos grupos redujeron ese plazo a menos de 24 horas.
Las consecuencias: pérdidas millonarias
Galaxy Research contabiliza 1.596 bitcoin sustraídos en tres oleadas, equivalentes a unos 102,3 millones de dólares, y una cuarta oleada en investigación que elevaría la cifra a 2.055 BTC, cerca de 131,8 millones de dólares. Por otra parte, el exchange Boltz suspendió sus operaciones indefinidamente el 3 de agosto tras meses de ataques automatizados que se intensificaron, aunque sin lograr acceder a los fondos. La cartera Zeus también quedó fuera de servicio, y el apagón de Boltz dejó sin proveedor de liquidez a complementos de BTCPay Server, intercambios Lightning de Hodl Hodl, conversiones de Bull Bitcoin y la aplicación de Blockstream. Todo esto ocurrió en la capa de servicios, sin afectar las reglas de consenso de Bitcoin.
La respuesta del ecosistema: el Bitcoin Red Team
El Bitcoin Red Team, un grupo de dieciséis personas distribuidas globalmente, abrió 4.962 reportes en 390 proyectos en 27,5 horas de trabajo continuo, apoyados en modelos de IA de peso abierto. De esos reportes, 85 fueron críticos y 635 de alta severidad, con un promedio de 2,31 hallazgos de alto riesgo por investigador y por hora. Sin embargo, solo el 21,4% de los reportes ha sido reproducido de forma independiente, lo que indica que la cifra describe una superficie por revisar, no cinco mil puertas abiertas. El costo de esta operación asciende a unos 10.000 dólares diarios en cómputo, más de 40.000 acumulados, financiados por OpenSats. En días se está comprando la revisión que no se compró en años, y no con recursos de las empresas auditadas, sino con donaciones del ecosistema.
Lecciones y futuro
La deuda de auditoría no significa que el ecosistema sea más frágil; las fallas llevaban años ahí y solo ahora se han hecho visibles. La pieza más crítica de Bitcoin, la biblioteca libsecp256k1 que maneja todas las firmas, resultó ser la más limpia, gracias a quince años de revisión obsesiva. La lentitud del protocolo, que antes era una postura filosófica, ahora es un cálculo de costos: cada línea de código agregada es superficie que alguien puede leer más barato de lo que costó escribirla. La amenaza real no fue la computación cuántica, sino una biblioteca con seis estrellas que nadie había leído. La osificación del protocolo cobra cada vez más sentido. Como señaló Álvaro D. María, autor de Filosofía de Bitcoin, las eras políticas cambian cuando cambia la relación entre el costo de atacar y el costo de defender. Si la inteligencia artificial es la pólvora de la capa de servicios, el desenlace depende de quién pueda sostener la vigilancia. Hoy la sostienen dieciséis voluntarios y una fundación, por 10.000 dólares al día, una ganga frente a los 131,8 millones que puede haber costado no hacerlo antes.