-
La seguridad ya no se mide en código. Se mide en dólares. Ese es el nuevo paradigma.
-
Si auditar cuesta dos dólares, no hacerlo es una decisión financiera, no técnica.
Semanas antes de que más de 2.000 bitcoin (BTC), valorados en 130 millones de dólares, desaparecieran de miles de hardware wallets Coldcard, Coinkite informó que sometió su código a auditorías asistidas por inteligencia artificial (IA). Ninguna herramienta emitió una sola alerta.
Felipe Ojeda, un defensor de Bitcoin en Brasil, fue uno de los afectados. Perdió los ahorros de diez años. Su Coldcard nunca se había conectado a internet. Solo recibía fondos. «Hice todo bien. Compré el hardware más seguro. Y aún así, mi dinero desapareció», declaró.
Tras el robo, Coinkite repitió la prueba con los modelos más avanzados. Usaron Kimi K3, Claude Fable, Codex 5.6. Y el resultado fue idéntico, cero vulnerabilidades.
El problema era que la falla se ocultaba en la frontera entre dos módulos de código que funcionaban bien por separado, pero que al conectarse generaban un error de configuración. Un fallo introducido en marzo de 2021 que redujo la entropía de las claves privadas de 256 bits a apenas 40 bits en los modelos más antiguos (Mk3) y a 72 bits en los siguientes modelos (Mk4, Mk5, Q). El equivalente a cambiar un cerrojo de seguridad máxima por uno que se abre con un destornillador.
No es solo la IA, es también el presupuesto
Pero cuando la vulnerabilidad se hizo pública, la historia dio un giro radical. Investigadores independientes como Medusa y Haseeb Qureshi (socio de la firma Dragonfly) introdujeron el mismo código defectuoso en los mismos modelos de IA, pero con una instrucción diferente: «revisa este código en busca de vulnerabilidades». Entonces, la IA tardó entre 8 y 20 minutos en encontrar el fallo. El costo computacional fue de solo dos dólares.
La lección no es que la IA «falló» o «acertó». La lección es que auditar el código de Coldcard costaba dos dólares, y nadie los gastó con la instrucción adecuada
El análisis de todo es que los modelos de IA, entrenados con patrones de código convencional, no tienen referencias automáticas para identificar fallas que surgen exclusivamente de la interacción entre módulos. Pero eso no es un defecto de la IA, es un defecto del proceso.
Quiere decir que la IA de código es como un policía de tránsito que solo conoce las normas básicas. Sabe perfectamente que está mal pasarse un semáforo en rojo, pero no tiene ni idea de cómo evaluar las causas de un choque múltiple en una autopista.
La vulnerabilidad de Coldcard no fue un simple «semáforo en rojo», fue un «choque múltiple» causado por la forma en que dos partes del código interactuaban, un problema que requiere una visión mucho más amplia y compleja que la que tiene un modelo entrenado con patrones convencionales.
Coinkite pagó por una revisión superficial que no buscaba el error adecuado. Por el contrario, El Bitcoin Red Team, una iniciativa de 16 investigadores voluntarios creada tras el hackeo para auditar el ecosistema con IA, demostró que con dos dólares y la instrucción correcta, la misma IA encontraba la brecha en minutos.
Todo demuestra que la IA no es ni buena ni mala; es rápida y barata. El factor crítico no es la tecnología, es quién puede pagar la próxima auditoría primero.
La IA no es tonta, es literal
Kimi K3 es el modelo que mejor representa la contradicción económica de esta historia porque Coinkite lo usó y falló. El Bitcoin Red Team lo usó y triunfó.
La diferencia radicó en la libertad operativa es que el Red Team puede usarlo de forma intensiva, sin restricciones comerciales, y con prompts específicos para buscar vulnerabilidades en los límites entre módulos, exactamente donde se ocultaba el fallo de Coldcard.
Mientras que modelos cerrados como los de OpenAI imponen restricciones de uso y costos por consulta, los modelos de código abierto u open-weight como Kimi K3 pueden ejecutarse localmente, sin límites, por cualquier investigador. Accesible para defensores… y también para atacantes.
Aquí yace el núcleo del problema. Qureshi ha propuesto una métrica que cambia las reglas del juego. La llama el «Costo de Descubrimiento» (CoD).
La clave de su propuesta se concentra en la pregunta: ¿cuánto cuesta que una IA encuentre vulnerabilidades en el código de los proyectos? La respuesta en el caso de Coldcard ya la dijimos antes, fue de solo dos dólares.
La advertencia de Qureshi es que los grandes actores tienen ventaja estructural para gastar en pruebas automatizadas; las startups, en cambio, pueden ser vulneradas por atacantes. En este nuevo paradigma, la seguridad no depende de escribir código perfecto, sino de quién puede pagar la auditoría más rápido.
La seguridad de la custodia de Bitcoin ya no depende de escribir código perfecto, algo técnicamente imposible, sino de la velocidad y el presupuesto con que los defensores ejecuten auditorías con IA antes de que un tercero apriete el gatillo. La pregunta de aquí en adelante es simple: ¿quién pagará primero los siguientes dos dólares?
