Las matemáticas de curva elíptica que sustentan Bitcoin nunca han sido vulneradas. La aleatoriedad que las alimentaba, sí.

El impacto se extiende más allá de las monedas robadas. Una semilla no es un objeto específico de Bitcoin; es entropía pura. También puede crear direcciones y claves para otros sistemas. Cualquiera que haya llevado una semilla de Coldcard a un monedero multicadena estaba usando los mismos dados defectuosos en una mesa diferente.

Coinkite, la empresa canadiense detrás del dispositivo, ha publicado su propia explicación del incidente. Unas semanas antes del robo, la firma ejecutó uno de los mejores modelos de IA disponibles sobre este código exacto, buscando problemas de seguridad. La revisión no encontró nada. La empresa también cree que así fue como el atacante descubrió el fallo, ya que el firmware siempre ha sido de fuente abierta. Ambas partes tenían la misma herramienta. Solo funcionó para una de ellas.

Este evento subraya un problema clave con la seguridad asistida por IA. Un defensor le pide a un modelo que examine una base de código y necesita que detecte cada vulnerabilidad grave. Un atacante le pide que encuentre una ruta explotable y puede tolerar cualquier número de intentos fallidos porque solo se necesita una respuesta correcta. La defensa debe acertar en todas partes. El ataque debe acertar una sola vez. Una revisión de código económica no reduce ese desequilibrio; lo acelera.

Esto nos lleva al conocido refrán. Ni tus claves, ni tus monedas. La frase más antigua de Bitcoin. Estaba dirigida a los exchanges, y la semana pasada funcionó exactamente como se afirma. Las víctimas poseían sus propias claves. También el atacante. Al protocolo no le importa cuál era el verdadero dueño.

Es por eso que la recuperación aquí es más que difícil. Bitcoin es un instrumento al portador. Cualquiera que pueda producir una firma válida puede mover la moneda. La red no comprueba si tienes derecho a los fondos. Solo comprueba si la firma es válida.

Después de eso, el asunto pasa a los tribunales. Debes localizar a la persona, en una jurisdicción dispuesta a escuchar tu caso, luego demostrar que el monedero era tuyo y que la transferencia fue un robo en lugar de estar autorizada. Solo con la cadena de bloques, esos escenarios pueden parecer idénticos.

Hace unos años, una ballena de Bitcoin visitó la oficina para informarse sobre los productos de activos digitales que ofrecíamos. Preguntó por la custodia en menos de 90 segundos y luego hizo alarde de desconfiar de cada nombre de la lista. De grado empresarial, certificado por ISO, auditado, asegurado y, para él, irrelevante, porque otra persona tenía las claves.

Mi respuesta entonces es la misma que daría ahora. Un custodio regulado es la parte de la estructura que puede rendir cuentas. Si los activos de los clientes se gestionan mal, puede haber seguros, responsabilidad contractual, auditores y reguladores a los que recurrir. Nada de esto garantiza la recuperación, pero alguien es responsable.

Él eligió lo contrario, como era su derecho. El problema es que la elección se basó en un eslogan. Seis palabras resolvieron una cuestión sobre una suma muy grande de dinero que merecía una discusión sobre modos de fallo, seguros y a quién demandar exactamente.

Nada de esto es un argumento para comprar el ETF y desconectar el cerebro. La autocustodia no falló aquí. El proceso de construcción de un proveedor falló, y cada usuario que proporcionó sus propias tiradas de dados al configurarlo no se vio afectado. Pero el fallo estuvo oculto durante cinco años y se encontraba dentro del mismo ritual que la práctica te dice que es seguro.

Eso nos deja la parte incómoda. No hay una prueba de autodiagnóstico. No puedes ejecutar nada contra tu propio monedero para averiguar si tu semilla se encuentra dentro del conjunto reproducible, porque una semilla comprometida y una sólida se ven iguales. El único enfoque honesto es asumir que estás afectado y mover los activos a un monedero seguro recién generado.

La lección no es que la autocustodia no funcione. Es que traslada la responsabilidad. La pregunta clave no es solo quién tiene tus claves, sino quién asume la pérdida cuando esas claves fallan.

Yevgeny Bebnev es un profesional de la inversión y especialista en fondos multigestor con sede en Dubái. También es el fundador y director de inversiones (CIO) de Alaris Capital.