La defensa de Bitcoin cambió para siempre 

Llega el aviso de actualización y dice lo mínimo: hay correcciones de seguridad, los detalles se publicarán más adelante. El usuario mira la pantalla. Puede instalar sin saber qué está parchando, o puede esperar a saberlo y quedarse expuesto mientras espera. No hay una tercera opción. Diecisiete años de prédica bitcoiner le enseñaron a no confiar y verificar, y hoy las empresas le piden confía ahora, verifica después, y date prisa. 

Cuando un equipo publica una actualización, la diferencia entre la versión anterior y la nueva señala dónde estaba el problema. Antes, reconstruir un ataque a partir de esa pista tomaba días o semanas de trabajo especializado, lo que daba a los usuarios una ventana para actualizar. Hoy, gracias a la inteligencia artificial, esa ventana se mide en horas. Por eso Electrum publica sus parches sin los detalles técnicos y promete revelarlos cuando la mayoría haya actualizado. 

El repositorio sigue abierto y los cambios se publican: cualquiera con paciencia y una máquina puede comparar versiones y ubicar la corrección. Lo que se retiene no es el código, es la explicación sobre la severidad, el vector, cómo se dispara. La no divulgación inmediata lo que compra es fricción, unas horas de ventaja mientras el atacante averigua por su cuenta lo que el aviso le habría entregado servido. La seguridad del usuario dejó de descansar en su capacidad de verificar y pasó a descansar en el margen de una carrera que él no corre. 

No se trata de que el código abierto haya fallado, sino de que la premisa de que muchos ojos revisando lo mantendrían seguro dejó de ser suficiente. Los ojos que importan ahora son los de las máquinas, rápidos y costosos. 

Al menos en Bitcoin, despertamos a la realidad de este cambio tras el ataque a los dispositivos ColdCard. El error de entropía en el firmware de la hardware wallet se llevó más de 2.000 bitcoin en robos. Pero esto solo fueron las primeras gotas del diluvio que inicia.  

Boltz suspendió sus operaciones sin que nadie tocara los fondos de sus usuarios y terminó vendido a una empresa mayor cuyo nombre no se ha revelado. LNp2pbot, el exchange p2p que funcionaba dentro de Telegram, cerró bajo ataques constantes. La wallet Zeus suspendió servicios durante días. Una vulnerabilidad en BTCPay Server permitió vaciar nodos Lightning ajenos, entre ellos los de Foundation y Citadel21. El servicio de préstamos del ecosistema de Rootstock, Tropykus, descontinuó también sus servicios hace meses de forma preventiva porque sabían que no podrían costear la defensa ante los ataques con IA. 

El Bitcoin Red Team lleva cerca de 8.000 vulnerabilidades detectadas al 13 de agosto y quema unos USD 10.000 diarios en cómputo; el mismo equipo mostró que con dos dólares y la instrucción correcta se localizaba en minutos la falla que ColdCard no vio en cinco años. Encontrar salió baratísimo. Sostener la vigilancia, todos los días, contra un adversario que no duerme, es lo que se volvió caro.  

Ahí está el riesgo para la descentralización. Cuando la defensa se compra, sobreviven los que tienen caja; el resto vende, cierra o se deja absorber. Esto es lo que ha pasado con regulaciones como MiCA o hasta la BitLicense de Nueva York: los costos legales hicieron prohibitivo para los pequeños operar en ciertas jurisdicciones. Pero en este caso no basta con hacer arbitraje regulatorio. Se trata de la forma de centralización más difícil de combatir porque emerge sola del nuevo costo de existir. 

Lo que viene se puede anticipar con bastante precisión, porque ya empezó. El desarrollo va a refrenarse. Cada línea de código agregada es superficie que alguien leerá más barato de lo que costó escribirla, de modo que la prudencia dejó de ser una postura de bitcoiners conservadores y pasó a ser un seguro existencial.  

Los equipos van a dejar de reescribir la rueda y se apoyarán más de lo que ya es común hoy en día en bibliotecas que ya pasaron por el fuego. El repositorio más limpio de toda la barrida del Red Team fue libsecp256k1, la biblioteca que maneja las firmas de Bitcoin, y no por suerte, sino porque es la pieza más revisada del ecosistema. Va a haber consolidación de pilas confiables, menos experimentación en las capas críticas y más dependencia de unos pocos componentes compartidos.  

Habrá quien cierre su código como una medida para introducir fricción a los atacantes. Y, como asomó Diego Gutiérrez Zaldívar, cofundador de Rootstock, en Separando el Dinero y el Estado, habrá quien monte esquemas híbridos con una parte permisionada, dígase, con KYC incorporado, y prometa volver atrás cuando pase la ola. 

Esa última promesa es la que hay que anotar porque, así como no hay nada más permanente que una medida temporal del gobierno, también ocurre que las concesiones tomadas bajo asedio tienden a quedarse cuando el asedio termina, no porque alguien las defienda, sino porque nadie se acuerda de deshacerlas. Más aún, si ya los Estados presionan para introducir medidas de identificación en redes abiertas, esta alternativa satisfaría su deseo de vigilancia hasta presionar en que se vuelva un estándar “por el bien de los usuarios”. 

Sin embargo, lo que se juega al sacrificar la apertura no solo es la libertad sino la propia seguridad. Hay un episodio de estas semanas que ilumina lo que está en juego. Los auditores de seguridad de Bitcoin quedaron sin acceso a los modelos de frontera por políticas de uso de los laboratorios de occidente. Y mientras más de ochenta empresas y organizaciones del ecosistema firmaron una carta abierta pidiendo ese acceso. El Red Team siguió trabajando con modelos de peso abierto chinos como Kimi K3 y Qwen 3.8. La lección es que el ecosistema que nació del software libre se salvó, otra vez, gracias a una herramienta libre.  

Si bien estos ataques también han sido posibles por la disponibilidad de estos modelos de peso abierto, la realidad fáctica hoy en día es que, aunque estas herramientas estén prohibidas en algunas jurisdicciones, son accesibles en otras por lo que podrán usarse tanto para el bien como para el mal. Y así como suele decirse sobre Bitcoin que una herramienta no tiene moral, sino que su uso depende de cada quien, lo mismo sucede con estos modelos de frontera. Poner barreras nunca ha mejorado a Bitcoin. 

Pero nada de esto es exclusivo a Bitcoin. El primer semestre de 2026 cerró con 212 incidentes verificados en redes de criptomonedas y USD 1.100 millones robados, según el reporte que Blockaid publicó el 28 de julio. Y así como los desarrolladores de Bitcoin, los de Ethereum salieron a cazar sus propias fallas con el mismo método. Pero en Bitcoin el golpe cae sobre un cuerpo particular, porque aquí los valores no son adorno: son el producto. 

Y llega en mal momento: en el ocaso del ethos bitcoiner. Ya la financiarización viene erosionando los principios de la comunidad mucho antes de que ningún modelo escaneara un repositorio. Lo que agrega esta ola es una coartada. Ahora quien quiera abandonar la autocustodia, cerrar su código o pedirle papeles a sus usuarios puede decir que lo hace por seguridad, y tendrá antecedentes para justificarlo. Los principios rara vez se abandonan por convicción contraria; se abandonan cuando aparece una excusa razonable. 

Es inevitable que del otro lado de estos ataques quede una industria más robusta, aunque caigan más proyectos. Bibliotecas realmente probadas, procesos de divulgación adultos, equipos que asumen que su código está siendo leído todo el tiempo por máquinas que no descansan. Sí, la industria va a salir más segura de esto. Lo que queda por ver es si saldrá igual de libre.