-
El nuevo costo de auditar con IA amenaza a desarrolladores y proyectos chicos sin financiamiento.
-
El Bitcoin Red Team gastó alrededor de USD 10.000 diarios para auditar repositorios del ecosistema.
El reciente hackeo a las wallets de Coldcard, en el que los atacantes usaron inteligencia artificial (IA) tanto para hallar como para explotar una falla de su firmware de código abierto, expuso un nuevo desafío para el desarrollo de tecnologías de código abierto: el creciente costo de defenderlas frente a ataques potenciados por IA.
Tras el ataque a Coldcard, un grupo de voluntarios conocido como Bitcoin Red Team se organizó para auditar el ecosistema completo de Bitcoin y, como lo reportó CriptoNoticias, el grupo gastó alrededor de USD 10.000 diarios auditando cientos de repositorios, mientras que la vulnerabilidad que desencadenó el hackeo de Coldcard habría podido encontrarse con apenas USD 2 en recursos de cómputo.
Esa asimetría plantea un problema especialmente relevante para los proyectos pequeños. Si mantener un software abierto exige auditorías permanentes, herramientas especializadas y recursos para responder rápidamente a vulnerabilidades descubiertas por IA, el costo de seguridad puede convertirse en una barrera para nuevos desarrolladores.
Asimismo, el conflicto es mayor en proyectos independientes que todavía no tienen ingresos, inversores o una comunidad suficientemente grande para financiar esas tareas para asumir desde el comienzo un costo de seguridad que antes no ejercía tal presión a la hora de la revisión para publicar y mantener un software abierto.
Tecnologías de código abierto: el blanco de ataques de IA
Frente a ese nuevo costo, la respuesta que algunos desarrolladores podrían repensar en el corto plazo podría ser no publicar el código. En ese sentido, Rodolfo Novak, cofundador y director ejecutivo de Coinkite, la empresa detrás de Coldcard, dejó la siguiente advertencia tras el ataque:
La revisión de código asistida por inteligencia artificial ya puede encontrar fallas latentes a una velocidad que supera incluso a los expertos más experimentados de la industria. Si tu firmware es de código abierto o alguna vez fue público, asume que ya está siendo leído por atacantes y defensores por igual.
Rodolfo Novak, cofundador y CEO de Coinkite.
Asimismo, Joseph Hurtado, fundador de la consultora Granata Consulting, sostiene que el código abierto ya se convirtió en un objetivo más fácil de atacar con inteligencia artificial que uno cerrado.
«El software de código abierto es un blanco fácil para los hackers de sombrero negro que usan inteligencia artificial en su contra. Ahora requiere un gran presupuesto de seguridad que el 99% de los desarrolladores individuales no pueden pagar, y el 90% de las empresas no pueden costear», afirmó Hurtado.
Incluso compañías ya establecidas sintieron esa presión. Boltz, una plataforma de intercambios entre Bitcoin, Lightning y Liquid (una red de segunda capa), suspendió sus operaciones el 3 de agosto tras meses de ataques que evolucionaban más rápido de lo que su equipo podía corregir. Lo mismo le ocurrió a la wallet de Bitcoin ZEUS.
Si una entidad con estructura y financiamiento debió detener su servicio, un proyecto independiente que recién arranca en una red descentralizada enfrenta la misma amenaza con muchos menos recursos para responder.
En otras palabras, en este contexto de creciente uso de IA ofensiva, resulta imposible abrir el código de un desarrollo sin al mismo tiempo exponerse a cualquier tipo de ataque.
La tendencia de hackeos con IA, sin embargo, no alcanza al protocolo de Bitcoin, que también es de código abierto. Hasta ahora, la IA demostró capacidad para encontrar fallas en productos y servicios que operan sobre la red, pero no para alterar las reglas que determinan cómo valida las transacciones y procesa los bloques.
Fallos en el código provocaron millones en pérdidas
En las redes que usan contratos inteligentes (programas que cumplen automáticamente las condiciones de un acuerdo sin necesidad de intermediarios), el código no funciona como una protección extra sobre el dinero, sino como la única línea de defensa que separa los fondos de quien logre encontrar un error en él.
Esa misma lógica rige en las finanzas descentralizadas (DeFi), donde miles de protocolos permiten prestar, intercambiar o invertir criptoactivos sin bancos ni intermediarios de por medio.
Un informe de fines de julio de la firma de investigación Blockaid reveló que las fallas de lógica en el código explicaron el robo de USD 203 millones durante el primer semestre de 2026, el 19,1% del total. En este escenario, un proyecto chico, sin presupuesto para auditorías con inteligencia artificial, es quien queda más expuesto ante ese tipo de ataque.
La transparencia del código abierto tiene defensores y detractores
Cerrar el código no es, sin embargo, la única respuesta posible. Una parte de la comunidad técnica y de usuarios sostiene lo contrario: que la transparencia sigue siendo la mejor defensa disponible, siempre que alguien esté dispuesto a mantenerla activa.
El Bitcoin Red Team pudo revisar casi 400 proyectos (hallando unas 5.000 vulnerabilidades) en cuestión de días precisamente porque el código de esos proyectos era público, y consiguió financiamiento de la comunidad para hacerlo, algo que un desarrollo cerrado no permite replicar de la misma forma.
Kevin Korte, asesor especializado en ciberseguridad e inteligencia artificial, plantea una idea parecida desde la mirada corporativa:
En las herramientas de seguridad de código abierto, la pregunta cambia de si se puede esconder lo suficiente a si se puede responder lo suficientemente rápido.
Kevin Korte, asesor de ciberseguridad.
Korte respalda esa idea con un antecedente fuera de Bitcoin. Ray, un entorno de código abierto para ejecutar aplicaciones de inteligencia artificial a gran escala y usado por empresas como Uber y varios proveedores de servicios en la nube, sufrió una falla que expuso credenciales, control de servidores y modelos de IA a atacantes.
Según describió Korte, la respuesta llegó rápido justamente porque el código era público: investigadores de seguridad pudieron analizar la falla, reproducir el ataque y publicar una guía de corrección sin depender del permiso de una sola empresa.
Por su parte, Pablo Sabbatella, investigador de seguridad, matiza el argumento de la transparencia: para él, la ventaja del código abierto depende por completo de que alguien lo revise de forma activa, no de la licencia en sí misma: «El código abierto no mantenido es tan malo o peor que el cerrado. Si nadie lee el código, no hay ventaja en ser abierto, solo desventajas».
El usuario de la red social X conocido como Ingeniero Seed, dedicado a la recuperación de frases semilla, cuestionó la idea de que el código abierto sea necesariamente más seguro porque permite auditorías públicas. Según su argumento, el problema no reside únicamente en la posibilidad de auditar el código, sino en el incentivo que tienen los atacantes para buscar vulnerabilidades.
De modo tal, el ataque a Coldcard no define un ganador entre código abierto y cerrado. Lo que sí deja en evidencia es que la seguridad de cualquiera de los dos modelos depende ahora de un factor nuevo: cuánto puede pagar cada desarrollador para que la inteligencia artificial trabaje a su favor y no en su contra. Esa es la pregunta que atraviesa hoy al ecosistema de Bitcoin y las tecnologías abiertas, todavía sin una respuesta cerrada.
