-
El Bitcoin Red Team ya escaneó más de 300 repositorios en busca de fallas.
-
La misma tecnología que recupera wallets perdidas también podría robarlas.
El uso de inteligencia artificial (IA) por hackers afecta a prácticamente todos los sistemas digitales, desde bancos, aplicaciones y plataformas hasta redes de criptoactivos. Si bien el protocolo Bitcoin, en su capa de consenso y criptografía, todavía resiste, las empresas, wallets y servicios que operan sobre él no corren la misma suerte y los últimos casos trazan un patrón que nadie había analizado: la IA está llegando al ecosistema bitcoiner sin tocar el protocolo, lo que implica todo el nuevo paradigma.
Durante los últimos días ocurrieron dos ejemplos de ello. El servicio de intercambio Boltz suspendió indefinidamente sus operaciones este 3 de agosto citando una escalada de ataques automatizados con IA contra su infraestructura. Días después, la empresa Coinkite admitió que su propia revisión de código asistida por IA tampoco detectó el fallo que permitió el robo de más de 130 millones de dólares a usuarios de las hardware wallets Coldcard.
Dos empresas, dos caras del mismo fenómeno: una tecnología que ya cambia los tiempos de la seguridad, para atacar y para defender.
Según Boltz, la decisión no respondió a un incidente aislado: durante los meses previos, la empresa venía conteniendo sondeos automatizados con IA contra sus servidores, hasta superar la capacidad de su equipo para parchear.
Jameson Lopp, desarrollador bitcoiner y cofundador de la empresa de seguridad Casa, aseguró que los avances en los modelos de lenguaje «están cambiando drásticamente el panorama de la seguridad», porque la misma IA que abarata la auditoría para los defensores también abarata la búsqueda de fallas para los atacantes. Para equipos con código abierto como Boltz, esa carrera se volvió imposible de sostener.
El hackeo a Coldcard y el uso de IA
Coinkite publicó en su blog oficial que corrió revisiones de su código crítico con IA, incluso semanas antes del robo, sin que esa revisión detectara el fallo. Tras el incidente, probó varios modelos de frontera contra el mismo código y ninguno lo encontró tampoco.
El CEO y fundador de la empresa, Rodolfo Novak, señaló que la compañía debe asumir que el atacante usó IA para hallar el fallo, aunque no existe evidencia forense que lo confirme. Según Galaxy Research, la cifra de bitcoin (BTC) robados ya superaría los 2.000, equivalentes a unos USD 130 millones.
Sin embargo, el educador venezolano Alexis Lugo, director de la iniciativa Criptoneros, sostuvo a CriptoNoticias que el incidente de Coldcard «responde a fallos humanos» y no a la sofisticación de ninguna IA, ya que el error estuvo latente desde 2021 sin que la empresa lo detectara ni corrigiera a tiempo.
Más allá de la causa, ambas lecturas coinciden en algo: ni cinco años de revisión humana ni la revisión con IA que Coinkite ya aplicaba alcanzaron para detectar el fallo a tiempo.
La IA para hallar vulnerabilidades
La misma tecnología que preocupa a Boltz y a Coinkite también se usa para blindar el ecosistema. El Bitcoin Red Team, con investigadores como Rob Hamilton y callebtc, informó el 5 de agosto haber escaneado más de 300 repositorios de Bitcoin con agentes de IA, con una inversión cercana a los USD 40.000 financiada por OpenSats.
Según Hamilton, cruzar el procesamiento de los modelos con el criterio humano mejoró la precisión: varias anomalías automáticas escalaron a críticas solo al recibir contexto de una persona.
En la misma línea, Block lanzó en mayo de 2026, a través de su subsidiaria Spiral, una herramienta gratuita llamada Loupe, para realizar escaneos con IA a proyectos abiertos como Bitcoin Core, BDK, LDK y rust-bitcoin. Loupe solo reporta hallazgos respaldados por una prueba reproducible, con el objetivo de reducir la asimetría entre atacantes y mantenedores (la mayoría de los cuales son voluntarios con recursos limitados).
Para julio de 2026, tras aproximadamente dos meses de escaneos intensivos, la herramienta había revisado 24 repositorios, identificado 643 vulnerabilidades o hallazgos de seguridad y contribuido a que más de 70 de ellos ya estuvieran corregidos.
El caso de Money On Chain (MOC), un protocolo DeFi construido sobre Rootstock, la cadena lateral de Bitcoin, ilustra el mismo patrón. Su cofundador, Maximiliano Carjuzaa, contó a CriptoNoticias que una herramienta de IA encontró en un minuto una falla que había sobrevivido a cinco auditorías humanas y siete años en producción, y estimó que casi el 100% de los ataques recientes en plataformas de finanzas descentralizadas (DeFi) usan IA.
No obstante, la velocidad del fenómeno de hackeos con IA no es exclusiva de Bitcoin. De acuerdo con el Informe de caza de amenazas 2026 de CrowdStrike, publicado el 3 de agosto, el 88% de las fallas de seguridad con una prueba de concepto pública ya se explotan en las primeras 48 horas tras su divulgación, y los ataques contra infraestructura en la nube aumentaron un 171% en el período analizado.
Cuando la IA recupera lo que estaba perdido ¿pudiendo robarlo?
Esa misma capacidad ofensiva también se probó en recuperaciones autorizadas de bitcoins. En abril de 2026, según relató el especialista en ciberseguridad Pavol Lupták, un usuario le pidió ayuda para recuperar el acceso a una wallet de Bitcoin para Android protegida por un PIN de ocho dígitos olvidado. Claude, el modelo de IA de Anthropic, analizó el código de la aplicación, escribió un cracker y coordinó de forma autónoma cinco servidores en la nube: encontró el PIN en 14,5 horas.
Un mes después, un usuario de X recuperó 5 BTC bloqueados desde 2015 tras perder la contraseña de su wallet. Cargó los archivos de su computadora universitaria en Claude, que halló una versión antigua del archivo y un error en cómo el software combinaba la clave compartida con la contraseña.
Ambos casos se ejecutaron con consentimiento de los dueños de los fondos. Pero la misma combinación de análisis de código, fuerza bruta e infraestructura en la nube podría aplicarse, sin consentimiento, contra wallets perdidas o mal protegidas de terceros dentro del ecosistema de Bitcoin: el mismo mecanismo que preocupa a Coinkite en Coldcard, aplicado esta vez al acceso y no a la generación de claves.
En ese escenario, aunque el protocolo de Bitcoin sigue sin ceder terreno ante la IA, al menos por ahora, los atacantes mediante herramientas de IA están vulnerando este ecosistema, ya que sus actores sufren el ritmo acelerado con el que los hackers encuentran vulnerabilidades respecto al tiempo en el que desarrolladores pueden evitarlas o parchearlas. Boltz es, por ahora, el único costo empresarial confirmado de esa nueva ecuación. La pregunta abierta es cuántos proyectos más, en un ecosistema que depende de mantenedores voluntarios y equipos reducidos, pueden sostener ese ritmo.
