-
El problema no es el código. Es quién puede pagar para defenderlo.
-
Atacar con IA cuesta dos dólares; auditar y defender a gran escala exige millones.
Durante diecisiete años, las matemáticas puras fueron el gran igualador de Bitcoin: un desarrollador independiente en su habitación podía defender su soberanía financiera con el mismo nivel de seguridad criptográfica que una institución multimillonaria, aunque la infraestructura y el enfoque operativo para lograrlo fueran muy distintos. Pero, el 30 de julio de 2026, esa ilusión se desmoronó.
La explotación de un fallo en el firmware de las hardware wallets Coldcard redujo la entropía criptográfica de 128 a solo 40 bits en los modelos más antiguos y a 72 en los posteriores. Esta vulnerabilidad facilitó el robo de aproximadamente 2.000 bitcoin, unos 130 millones de dólares, y dejó al descubierto la brecha tecnológica de una nueva era.
Lo que convirtió este incidente en un punto de inflexión no fue únicamente el monto sustraído, sino el papel que jugó la inteligencia artificial (IA) en el evento.
Coinkite, el fabricante de los dispositivos, admitió públicamente que había realizado auditorías de código asistidas por IA semanas antes del ataque sin lograr detectar la falla. Esto debido a que el error residía en la interacción entre dos submódulos secundarios y no en la lógica criptográfica principal.
Por el contrario, pruebas posteriores revelaron que el modelo Opus 5, empleado por el investigador Stephen DeLorme y el Bitcoin Red Team, descubrió esta y otras fallas con un gasto en cómputo de tan solo dos dólares por caso.
La cifra de los dos dólares fue revelada por el analista Haseeb Qureshi, quien estimó que la auditoría ejecutada con el modelo GLM 5.2 requirió esa suma en capacidad de cómputo. Sin embargo, el costo del procesamiento es solo una fracción del problema y dista de ser el factor más determinante. Es necesario tomar en cuenta lo siguiente:
- El costo es «por intento», no por auditoría completa. Encontrar una vulnerabilidad específica después de que ya es conocida no es lo mismo que descubrirla a ciegas. La iniciativa Bitcoin Red Team invirtió más de 40.000 dólares en cómputo para auditar 390 repositorios . Cada intento cuesta poco; una auditoría exhaustiva cuesta mucho.
- El acceso no es universal. El Bitcoin Red Team comenzó usando modelos chinos de código abierto (Kimi K3, GLM5.2) y solo después de establecer alianzas pudo acceder a modelos de OpenAI y Anthropic . No todos los proyectos pueden hacer eso.
- El «2 dólares» no incluye el trabajo humano. El Bitcoin Red Team no solo puso IA a trabajar, dedicó recursos humanos para verificar los 4.962 hallazgos . Ese es el cuello de botella real.
Bitcoin permanece intacto; pero la protección tiene un precio
Frente a esta dinámica, la pregunta sobre si la inteligencia artificial amenaza con centralizar Bitcoin suele responderse en el sector con un «no» rotundo: la IA no puede alterar el consenso de Satoshi Nakamoto, modificar la tasa de emisión ni tomar el control de la validación de bloques.
Sin embargo, esa respuesta evade el verdadero reto. La IA no está centralizando el consenso de Bitcoin; está centralizando la capacidad económica de proteger la red.
Yu Xian, fundador de la firma de ciberseguridad SlowMist, resume la raíz de esta asimetría en la estructura de los incentivos financieros:
Los atacantes tienen una motivación financiera directa, ya que encontrar un fallo se traduce en beneficio inmediato. Los defensores, en cambio, están sujetos a presupuestos limitados, restricciones de cumplimiento normativo y altos costos de infraestructura.
Yu Xian.
Escalar la seguridad con IA: una factura que no todos pueden pagar
La capacidad de operacionalizar estas herramientas a bajo costo es el factor que hoy divide al ecosistema. El Bitcoin Red Team logró ejecutar su auditoría masiva porque contaba con el respaldo financiero de la organización OpenSats. Un proyecto pequeño de código abierto sin ese apoyo enfrenta barreras operativas prácticamente insuperables:
- Incapacidad presupuestaria: no pueden destinar miles de dólares a un solo esfuerzo de revisión.
- Falta de personal especializado: no disponen de equipos dedicados para filtrar miles de alertas y separar los falsos positivos de los errores críticos.
- Acceso limitado a la tecnología: carecen del poder de negociación para acceder de forma prioritaria a los modelos de lenguaje más avanzados.
Las consecuencias de esta brecha ya son visibles en la industria:
- Filtros defensivos desbordados: la plataforma Coinbase redujo los pagos máximos de su programa de recompensas por errores (bug bounty) de 50.000 a 15.000 dólares, citando el costo operativo de procesar miles de reportes automatizados de baja calidad generados por usuarios que emplean IA.
- Cierre de infraestructura independiente: Boltz, un servicio de pagos no custodial basado en la red Lightning, anunció la suspensión indefinida de sus operaciones tras determinar que su equipo no contaba con los recursos necesarios para responder a la frecuencia de los ataques automatizados.
- Migración hacia custodios centralizados: Jonathan Brockmeier, director de cumplimiento del intercambio OKX, confirmó un incremento en las entradas de capital hacia su plataforma tras el incidente de Coldcard, lo que refleja un desplazamiento progresivo de usuarios desde la autocustodia hacia entidades corporativas con abultados presupuestos de ciberseguridad.
La amenaza es la asfixia económica de los proyectos pequeños
Frente a esta disparidad, han comenzado a surgir iniciativas comunitarias para democratizar la defensa. La firma tecnológica Block lanzó Loupe, un escáner de código gratuito impulsado por IA, mientras que el Bitcoin Red Team planea liberar su infraestructura como código abierto.
A pesar de estas iniciativas, especialistas como Mitchell Amador, director ejecutivo de Immunefi, calculan que los equipos defensivos enfrentan una brecha de tres a cuatro años para alcanzar la paridad con las herramientas utilizadas por los atacantes.
La IA hace que cada prueba individual sea barata, pero convierte la seguridad a gran escala en un servicio extremadamente caro. Los grandes actores corporativos pueden costear el esfuerzo sistemático y la supervisión humana continua; los proyectos pequeños solo pueden permitirse pruebas aisladas.
En ese sentido, queda claro que Bitcoin no será centralizado por una falla en su código base ni por un ataque a su consenso. La amenaza real es una centralización por desgaste económico. Y ese es un escenario donde la autocustodia y el desarrollo independiente queden relegados porque solo los gigantes financieros pueden pagar la factura de la ciberseguridad de última generación.
