El presunto hackeo de Binance muestra que la custodia sigue siendo el talón de Aquiles cripto

Las criptomonedas prometían acabar con la necesidad de confiar tu dinero a un intermediario. Entonces, ¿por qué la mayor noticia de la semana trata de un intermediario que, según los informes, ha perdido miles de millones?

Esto es lo que se sabe hasta ahora, y las cifras siguen cambiando. Binance dijo que era consciente de «un posible problema de seguridad» y que «no ha confirmado ningún impacto en los fondos de los usuarios», según Express. Suspendió las retiradas. Los primeros informes hablaban de 2.800 millones de dólares retirados de golpe, con más de 2.000 millones de dólares en Ethereum y tokens saliendo de los monederos calientes hacia una dirección creada unas horas antes. Los recuentos posteriores fueron más altos: un recuento on-chain citado por Yahoo Finance sitúa el vaciado en 5.570 millones de dólares repartidos en tres blockchains, con Tether y Circle congelando 1.800 millones de dólares. El fundador, Changpeng Zhao, dijo que las pérdidas podrían superar los 1.000 millones de dólares, pero que se cubrirían. Estas cifras no coinciden y Binance no ha confirmado el total. Toma la cifra de los titulares como una estimación.

Por otro lado, Polymarket suspendió las operaciones después de que uno de sus proveedores externos fuera comprometido y algunos usuarios vieran sus cuentas vaciadas. Wired informa de que las operaciones se han reanudado y de que los traders afectados serán compensados por completo. Según los informes, las pérdidas rondan unos pocos millones. Polymarket culpa a un proveedor externo, y los dos incidentes parecen haber coincidido simplemente el mismo día.

El fallo aparece siempre en el mismo sitio

Otra escala, otra mecánica, la misma lección: alguien guarda las claves o tiene acceso en nombre de los usuarios y, cuando ese alguien sufre una brecha, quienes pagan son los usuarios. En Binance, la pérdida notificada salió de los monederos calientes, la parte de un exchange que debe permanecer conectada para poder procesar retiradas. En Polymarket, fue un proveedor de la cadena. Binance no ha explicado cómo entraron los atacantes, así que no podemos decir qué falló. Pero nada de lo publicado hasta ahora apunta a una ruptura criptográfica exótica, y nuestra apuesta es que se trata de riesgo operativo corriente disfrazado de blockchain.

Ese es el punto incómodo. Los protocolos que sustentan estos sistemas pueden ser sólidos mientras que los negocios que los envuelven siguen siendo un único punto de fallo. Creemos que el sector sigue vendiendo lo «descentralizado» como una sensación mientras pide a los usuarios que depositen sus fondos en cajones muy centralizados.

La prueba de reservas es necesaria, pero ni de lejos suficiente

La reacción tentadora es exigir una prueba de reservas a todos los exchanges. Estamos de acuerdo, con una salvedad. La prueba de reservas dice si los activos existen. Dice poco sobre si un atacante puede llevárselos mañana por la puerta. Un exchange solvente con controles descuidados en sus monederos calientes está a una mala tarde de congelar las retiradas.

Por eso la exigencia debería ser más amplia: auditorías de seguridad independientes y publicadas; una explicación clara de cuánto hay en almacenamiento caliente y cuánto en frío; y un relato sobre el riesgo de proveedores que vaya más allá de «un tercero fue comprometido». El caso de Polymarket recuerda que tu seguridad es la del eslabón más débil de los proveedores de los que dependes.

Los reguladores también tienen un papel. Unos estándares de transparencia que obliguen a los exchanges a informar, en lenguaje claro, de su arquitectura de custodia y de su respuesta a incidentes servirían más que otra ronda de tuits tranquilizadores. «Los fondos de los usuarios están seguros» es una frase, no una auditoría.

El rescate también fue centralizado, y eso corta en ambos sentidos

Hay una ironía que merece atención. Buena parte del control de daños vino de los emisores de stablecoins. Tether congeló más de 1.567 millones de USDT, y Jeremy Allaire, de Circle, dijo que congeló más de 800 millones de USDC en coordinación con las fuerzas del orden. Zhao también agradeció a Ripple haber congelado unos 200 millones de dólares. Es una buena noticia para cualquiera que se juegue dinero esta semana. También demuestra que unos pocos activos vendidos como «sin permisos» pueden apagarse cuando unas pocas empresas lo deciden.

No lo llamaríamos un defecto. Es una contrapartida que el sector rara vez expone con honestidad: la misma centralización que crea el punto único de fallo ofrece también el freno de emergencia. Y el freno solo funciona con activos que alguien controla. Un desglose no verificado que circula por internet afirma que el botín incluía unos 1.450 millones de dólares en Bitcoin y 875 millones de dólares en Ether. Conviene tomar esas cifras con cautela, pero, si se acercan siquiera a la realidad, buena parte de la pérdida está en activos que los emisores no pueden congelar sin más.

Trata el saldo de tu exchange como un préstamo, no como una propiedad

Si guardas fondos en un exchange, piensa en ese saldo como un préstamo a una empresa, no como algo que te pertenece. Deja en una plataforma solo lo que estés dispuesto a ver congelado durante días. Si puedes asumir la responsabilidad, pasa tus ahorros a largo plazo a autocustodia, y desconfía de cualquier plataforma que responda a una brecha con consuelo en lugar de datos.

Nuestro veredicto: es muy posible que Binance cubra a todos los usuarios, y ojalá lo haga. Pero el «cubriremos» de Zhao es una promesa, no una salvaguarda, y él mismo señaló que ya no dirige Binance y que hablaba como accionista. El sector seguirá teniendo semanas como esta hasta que los usuarios, y los reguladores que hablan por ellos, conviertan la seguridad verificable en una condición para hacer negocios y no en un eslogan de marketing.