Habla el creador de lnp2pbot: “ya no tengo ganas ni tiempo para levantar el proyecto”

El cierre de la plataforma de intercambio de bitcoin (BTC) en Telegram lnp2pbot fue un golpe certero a la comunidad del activo digital que, por años, aprovechó las nulas restricciones de identidad que se solicitaban para intercambiar BTC de manera directa y entre pares (P2P).

Aunque dura, fue una decisión necesaria para la tranquilidad de su creador y principal desarrollador, el programador venezolano Francisco Calderón. Él, lejos de tener intenciones de levantar el proyecto, es enfático en algo: no tiene ganas, ni tiempo, ni el dinero necesario para que lnp2pbot vuelva a sus anchas.

En una entrevista exclusiva para CriptoNoticias, Calderón contó los motivos que derivaron en la clausura de esa herramienta, que nació en el año 2021. Indicó que, con apoyo de herramientas de inteligencia artificial (IA), fue explotada una vulnerabilidad del sistema del bot.

Según explicó, la vulnerabilidad no se originó en el código del bot, sino en la dependencia (librería de javascript). El atacante se aprovechó de un fallo existente en esta librería para vulnerar el bot.

Tras el incidente, al realizar la auditoría, Calderón descubrió que el creador de dicha dependencia había corregido la falla hace apenas cinco días. Esto le sugirió que otro proyecto sufrió un hackeo similar, lo reportó y motivó la actualización del código. «El creador de la librería no hizo ningún anuncio ni aviso sobre ese parche crítico para que los demás actualizáramos. Y así como caí yo, van a caer otros».

Aun así, aclaró que el código del bot está bien y confirmó que la seguridad de los fondos de los clientes está garantizada. «Ningún usuario fue afectado, solo yo», señaló.

El lunes 10 de agosto, Calderón informó acerca del cierre de lnp2pbot tras cinco años operando en el mercado. En un comunicado publicado en su cuenta de X, el especialista destacó que el bot fue atacado y que no contaban con los recursos necesarios «para enfrentar un ejército de script kiddies armados con modelos de IA».

La IA se usó para explotar una vulnerabilidad en lnp2pbot

Calderón destacó que la IA fue parte fundamental de los ataques que derivaron en la explotación de la vulnerabilidad detectada.

Tal como lo expresó, «es muy fácil poner a modelos avanzados de IA a realizar auditorías de seguridad en proyectos open source y seguir indagando en lo encontrado hasta poder explotar alguna vulnerabilidad».

No es un caso aislado. El ecosistema de Bitcoin ha vivido momentos de terror en las últimas semanas debido al uso de IA para atacar a proyectos y empresas del sector. Un caso igual de emblemático es el de Coldcard, las hardware wallet de BTC cuyos sistemas fueron vulnerados, derivando en el drenaje de al menos 2.000 bitcoin.

Para Calderón, aunque es cierto que lnp2pbot puede reintegrarse, aclaró que no puede dedicarse de manera exclusiva al bot, siendo este otro de los motivos del cierre del bot.

«Lnp2pbot tiene un código muy sólido que ha aguantado ataques por cinco años seguidos, pero se encuentra con el problema de que solo estoy yo como responsable y no puedo estar a tiempo completo porque estoy trabajando en Mostro», señaló, refiriéndose a la otra plataforma de intercambio de bitcoin que él desarrolló y que opera sobre Nostr.

Dicha plataforma tampoco está exenta de amenazas. Según Calderón, «todo software corre riesgo».

«Mostro sigue, pero necesitamos ayuda. Somos un equipo muy pequeño trabajando sin fondos. No vamos a poder solo nosotros porque además de hacer que Mostro sea seguro, también tenemos que lidiar con las dependencias que utilizamos», indicó.

En el caso de lnp2pbot, el programador indicó que, para que siga funcionando, el bot «debe quedar bajo una organización o empresa que se enfoque 100% en el proyecto». En sus palabras, «el cierre es necesario para mí. El bot es open source, cualquiera puede continuar el proyecto».

«Lo que construimos fue fuertemente golpeado»

Calderón fue claro al señalar que, en vista de las circunstancias actuales del ecosistema, en donde la IA se ha convertido en una amenaza estructural para proyectos y herramientas, resulta necesario «replantear la manera en la que hemos trabajado por años».

«Es muchísimo más fácil destruir que construir. Lo que nos tocó 5 años construir, no voy a decir que fue destruido en minutos, pero sí fue fuertemente golpeado, hasta el punto de que yo no tengo ya las ganas, ni el tiempo, ni mucho menos el dinero para volverlo a levantar», comentó.

A su juicio, proyectos como lnp2pBot y Mostro «están en riesgo hoy más que nunca» ya que «un chico de 13 años que no tiene que trabajar y vive encerrado en su cuarto solo necesita 50 dólares para encontrar víctimas, estudiarlas y atacarlas».

En su opinión, la forma de responder a este flagelo es mediante auditorías masivas de los códigos y dependencias que se usen.

«Se me ocurre crear una especie de convención donde valoremos un proyecto por diferentes métricas. Y la primera que se me ocurre, porque tengo el caso fresco, es qué tan actualizadas están las dependencias del proyecto. Nada es una solución absoluta, pero creo que podemos ir orientándonos a algo por el estilo para exigirnos a nosotros mismos que nuestro código sea más auditado», concluyó.