Ethereum sale a cazar vulnerabilidades con IA, como el Red Team de Bitcoin

Mientras el Bitcoin Red Team revisa de forma pública cientos de repositorios del ecosistema Bitcoin con ayuda de inteligencia artificial (IA), la Fundación Ethereum (EF) comenzó a formalizar una estrategia similar dentro de su propia estructura.

El pasado 6 de agosto abrió la búsqueda de un investigador de seguridad de protocolo dedicado a inteligencia artificial, pruebas automatizadas y auditorías, un puesto permanente que lleva una función experimental hacia una estructura estable.

El cargo contempla la revisión de distintas capas de Ethereum, entre ellas la ejecución, el consenso, la red entre pares, las especificaciones y los clientes. También incluye la búsqueda de vulnerabilidades asistida por IA, pruebas automatizadas, revisión de actualizaciones de la red y coordinación de divulgaciones de seguridad.

La búsqueda de ese nuevo cargo coincide con el trabajo que el equipo de seguridad de protocolo de la Fundación ya venía desarrollando.

La prueba piloto que impulsó la contratación de la Fundación Ethereum

En julio pasado, la Fundación Ethereum utilizó agentes de IA coordinados para revisar código del protocolo y encontró vulnerabilidades reales.

Una de esas fallas afectaba a Gossipsub, el protocolo de difusión de mensajes de la librería libp2p que utilizan los clientes de consenso de Ethereum para comunicarse entre sí. La vulnerabilidad, identificada bajo la nomenclatura CVE-2026-34219, permitía provocar de forma remota un bloqueo de esa comunicación y fue corregido antes de su divulgación pública.

Ese experimento de julio mostró por qué la Fundación considera necesario mantener humanos dentro del proceso. Los agentes de IA podían analizar código en paralelo y generar informes con rutas de ejecución, posibles impactos y pruebas de concepto. El problema aparecía después, cuando había que determinar cuáles de esos informes describían una vulnerabilidad real.

La EF explicó que un hallazgo generado por un agente no se considera confirmado hasta que otro investigador puede reproducirlo contra el código real y verificar que el escenario de ataque es posible. El criterio de éxito, por tanto, no es acumular la mayor cantidad de alertas, sino encontrar vulnerabilidades que puedan demostrarse y corregirse.

El caso de Gossipsub permitió comprobar que un sistema de IA puede producir resultados útiles, pero también que la validación humana sigue siendo necesaria, según explicaron desde la Fundación.

En ese sentido, los investigadores de la Fundación especificaron qué consideran que una IA hace bien y qué hace mal:

La contratación del nuevo investigador de seguridad por parte de la EF llega en un momento en que la IA está reduciendo a pasos agigantados el conocimiento, el costo y el tiempo necesarios para buscar fallas en sistemas de activos digitales, lo que condujo al «nacimiento» de una nueva generación de hackers novatos.

Esta presión se hace especialmente visible en el ecosistema de finanzas descentralizadas (DeFi) y en redes como Ethereum que emplean contratos inteligentes, ya que el código, que en muchos casos es público y cualquier persona puede analizarlo y explotarlo con IA, es el único obstáculo entre el dinero y los atacantes.

Una defensa repartida en distintos frentes

La contratación es solo una parte de la estrategia. En abril de este año, la Fundación publicó los resultados de ETH Rangers, un programa creado junto con Secureum, The Red Guild y Security Alliance para financiar a investigadores independientes que realizan trabajos de seguridad como investigación de vulnerabilidades, desarrollo de herramientas, inteligencia sobre amenazas y respuesta a incidentes.

Otro frente está dirigido a la seguridad de las wallets y la interacción de los usuarios. La iniciativa Trillion Dollar Security, lanzada en mayo de 2025 por la EF, impulsó un estándar mínimo de seguridad para wallets y apoyó a Walletbeat. También destacó el trabajo de Verifier Alliance, una iniciativa que reúne a distintos actores para mantener una base abierta de contratos inteligentes verificados y facilitar que las herramientas puedan identificar el código que realmente está desplegado.

A esto se sumó una pieza vinculada con la respuesta ante ataques. El 29 de julio, Pascal Caversaccio, cofundador de la firma de seguridad SEAL 911, se incorporó a la junta directiva de la Fundación Ethereum. SEAL 911 funciona como una red de respuesta ante incidentes que conecta a proyectos afectados con especialistas en seguridad, por lo que su llegada amplía la presencia de ese conocimiento dentro de la estructura institucional de Ethereum.

Esta reorganización de la seguridad en Ethereum, ocurre en un contexto de cambios profundos en la Fundación. En junio, la organización eliminó 54 puestos, equivalentes a aproximadamente 20% de su plantilla, y modificó su estructura interna.

Contrastes entre la Fundación Ethereum y el Bitcoin Red Team

El contraste con Bitcoin está en la forma de organizar esa defensa. El Bitcoin Red Team surgió como una iniciativa comunitaria y voluntaria impulsada por desarrolladores como CalleBTC y Rob Hamilton. Su objetivo es revisar proyectos del ecosistema, publicar los hallazgos y coordinar con los equipos afectados las correcciones.

Durante sus primeras jornadas, el Red Team reportó hasta 8.000 vulnerabilidades en cientos de repositorios de proyectos del ecosistema bitcoiner y 1.280 fallos fueron clasificados como de gravedad alta o crítica, como lo reportó CriptoNoticias.

Ethereum está siguiendo otro camino. La búsqueda de personal se realiza dentro de la Fundación, que puede asignar recursos, definir prioridades y mantener una línea de trabajo permanente sin depender de una coordinación voluntaria entre investigadores dispersos.

Esa concentración institucional conduce a que las decisiones sobre qué se audita, cuánto se destina a cada área y cómo se divulgan los hallazgos queden en manos de un grupo más reducido, pero que puede actuar potencialmente más rápido debido a la presencia de una entidad centralizada que imponga las directivas a seguir.

En ese sentido, la iniciativa Trillion Dollar Security tiene como objetivo identificar riesgos en toda la infraestructura de Ethereum y financiar mejoras en áreas como experiencia de usuario, wallets, contratos inteligentes, infraestructura y seguridad del protocolo.

En esa iniciativa, la EF impulsó auditorías externas y programas para financiar investigadores independientes para que los usuarios puedan almacenar de forma segura los millones de dólares que están en la red.

Bitcoin, con sus pro y sus contra

Bitcoin, en cambio, tiene un modelo distinto, con sus ventajas y desventajas frente a la centralización de la Fundación. Su diseño descentralizado permite que un número mayor de personas participe de las revisiones de código, sin depender de que una sola institución dirija el camino. Esa es su principal ventaja.

La contracara es que ese mismo diseño depende de la coordinación, el compromiso y la predisposición de investigadores individuales para hacer ese trabajo de forma voluntaria, sin un presupuesto fijo ni una estructura que lo garantice.

Esa dependencia ya tuvo un costo. Numerosos proyectos del ecosistema quedaron sin auditorías sistemáticas durante años, y el Bitcoin Red Team recién este año empezó a saldar esa deuda, cubriendo a la gran mayoría de esos proyectos con revisión voluntaria y sin dejar a ninguno fuera del radar.

Ethereum, en cambio, mantiene una estructura centralizada para repartir recursos entre distintos problemas de seguridad. Esto le permite a la Fundación tomar decisiones más rápido y concentrar capacidades cuando debe responder a una amenaza. Esta velocidad, sin embargo, todavía no alcanza para reducir su exposición, ya que sigue siendo la red más golpeada por los hackeos impulsados por IA.

A pesar de los dos modelos, el notorio aumento de ataques con IA obliga a los defensores a profesionalizar sus defensas, mientras los hackers actúan con velocidad y automatización y los ecosistemas de código abierto necesitan decidir cómo organizar recursos suficientes para revisar lo que ellos mismos publican.