El repositorio de GitHub con el crecimiento más rápido de la historia acaba de exponer a más de 135.000 agentes de IA vulnerables en 82 países — y los usuarios de criptomonedas son los objetivos principales. Bienvenidos a la crisis de seguridad de OpenClaw, donde los gigantes tecnológicos chinos que compiten por desplegar puertas de enlace de IA colisionaron con un ataque masivo a la cadena de suministro que está reescribiendo las reglas de la seguridad blockchain.
El fenómeno viral que se convirtió en una pesadilla de seguridad
A finales de enero de 2026, OpenClaw logró algo sin precedentes: obtuvo más de 20.000 estrellas en GitHub en un solo día, convirtiéndose en el proyecto de código abierto de más rápido crecimiento en la historia de la plataforma. Para marzo de 2026, el asistente de IA había acumulado más de 250.000 estrellas, con entusiastas de la tecnología de todo el mundo apresurándose a instalar lo que parecía ser el futuro de la IA personal.
A diferencia de los asistentes de IA basados en la nube, OpenClaw se ejecuta completamente en su computadora con acceso total a sus archivos, correo electrónico y aplicaciones. Puede enviarle mensajes a través de WhatsApp, Telegram o Discord, y funciona las 24 horas del día, los 7 días de la semana — ejecutando comandos de shell, navegando por la web, enviando correos electrónicos, gestionando calendarios y realizando acciones en toda su vida digital — todo activado por un simple mensaje desde su teléfono.
La propuesta era irresistible: su propio agente de IA personal, ejecutándose localmente, siempre disponible e infinitamente capaz. La realidad resultó ser mucho más peligrosa.
135.000 instancias expuestas: La escala del desastre de seguridad
Para febrero de 2026, investigadores de seguridad descubrieron un hecho escalofriante: más de 135.000 instancias de OpenClaw estaban expuestas en el internet público en 82 países, con más de 50.000 vulnerables a la ejecución remota de código. ¿La causa? Un fallo de seguridad fundamental en la configuración predeterminada de OpenClaw.
OpenClaw se vincula por defecto a 0.0.0.0:18789, lo que significa que escucha en todas las interfaces de red, incluido el internet público, en lugar de 127.0.0.1 (solo localhost) como exigen las mejores prácticas de seguridad. En contexto, esto equivale a dejar la puerta principal de su casa abierta de par en par con un cartel que diga "entre libremente" — excepto que la puerta conduce a toda su vida digital.
La vulnerabilidad "ClawJacked" empeoró aún más la situación. Los atacantes podían secuestrar su asistente de IA simplemente logrando que usted visitara un sitio web malicioso. Una vez comprometido, el atacante obtiene el mismo nivel de acceso que el propio agente de IA: sus archivos, credenciales, datos del navegador y, sí — sus billeteras de criptomonedas.
Las empresas de seguridad se apresuraron a comprender el alcance. Kaspersky, Bitsight y Oasis Security emitieron advertencias urgentes. El consenso fue claro: OpenClaw representaba una "pesadilla de seguridad" que involucraba vulnerabilidades críticas de ejecución remota de código, debilidades arquitectónicas y — lo más alarmante — una campaña de envenenamiento de la cadena de suministro a gran escala en su mercado de complementos (plugins).
ClawHavoc: El ataque a la cadena de suministro dirigido a usuarios de cripto
Mientras los investigadores se centraban en las vulnerabilidades principales de OpenClaw, una amenaza más insidiosa se desarrollaba en ClawHub — el mercado diseñado para facilitar a los usuarios la búsqueda e instalación de "habilidades" (plugins) de terceros para sus agentes de IA.
En febrero de 2026, investigadores de seguridad bajo el nombre en clave ClawHavoc descubrieron que, de 2.857 habilidades auditadas en ClawHub, 341 eran maliciosas. A mediados de febrero, a medida que el mercado crecía a más de 10.700 habilidades, el número de habilidades maliciosas se había más que duplicado a 824 — y según algunos informes, llegó a alcanzar las 1.184 habilidades maliciosas.
El mecanismo de ataque fue devastadoramente inteligente:
- Prerrequisitos falsos: 335 habilidades utilizaron requisitos de instalación falsos para engañar a los usuarios y hacer que descargaran el malware Atomic macOS Stealer (AMOS).
- Cargas útiles específicas por plataforma: En Windows, los usuarios descargaban "openclaw-agent.zip" desde repositorios de GitHub comprometidos; en macOS, los scripts de instalación alojados en glot.io se copiaban directamente en la Terminal.
- Ingeniería social sofisticada: La documentación convencía a los usuarios de ejecutar comandos maliciosos bajo la apariencia de pasos de configuración legítimos.
- Infraestructura unificada: Todas las habilidades maliciosas compartían la misma infraestructura de comando y control, lo que indicaba una campaña coordinada.
¿Los objetivos principales? Los usuarios de cripto.
El malware fue diseñado para robar:
- Claves API de exchanges
- Claves privadas de billeteras
- Credenciales SSH
- Contraseñas del navegador
- Datos específicos de cripto de billeteras Solana y rastreadores de billeteras
De las habilidades maliciosas, 111 eran herramientas explícitamente centradas en cripto, incluidas integraciones de billeteras Solana y rastreadores de criptomonedas. Los atacantes entendieron que los usuarios de cripto — acostumbrados a instalar extensiones de navegador y herramientas de billetera — serían los objetivos más lucrativos para un ataque a la cadena de suministro de agentes de IA.
La carrera de despliegue de los gigantes tecnológicos chinos
Mientras los investigadores de seguridad emitían advertencias, los gigantes tecnológicos chinos vieron una oportunidad. A principios de marzo de 2026, Tencent, Alibaba, ByteDance, JD.com y Baidu lanzaron campañas competitivas de instalación gratuita de OpenClaw, comprimiendo una lucha competitiva que normalmente toma meses en solo unos días.
La estrategia era clara: utilizar despliegues gratuitos como adquisición de clientes, fidelizando a los usuarios antes de que los proyectos comerciales de IA escalen. Cada gigante compitió para convertirse en el "primer contacto de infraestructura para la próxima generación de desarrolladores de IA":
- Tencent lanzó QClaw, integrando OpenClaw con WeChat para que los usuarios pudieran controlar sus computadoras portátiles de forma remota enviando comandos a través de sus teléfonos.
- Alibaba Cloud desplegó soporte para OpenClaw en todas sus plataformas, conectándolo con su serie de modelos de IA Qwen.
- Volcano Engine de ByteDance presentó ArkClaw, una versión "lista para usar" de OpenClaw.
La ironía era absoluta: mientras los investigadores de seguridad advertían sobre 135.000 instancias expuestas y ataques masivos a la cadena de suministro, las empresas tecnológicas más grandes de China promovían activamente la instalación masiva para millones de usuarios. La colisión entre el entusiasmo tecnológico y la realidad de la seguridad nunca había sido tan visible.
El problema de los agentes de IA en Web3: Cuando el MCP se encuentra con las billeteras cripto
La crisis de OpenClaw expuso un problema más profundo que los desarrolladores de Web3 ya no pueden ignorar: los agentes de IA gestionan cada vez más activos on-chain, y los modelos de seguridad son peligrosamente inmaduros.
El Model Context Protocol (MCP) —el estándar emergente para conectar agentes de IA con sistemas externos— se está convirtiendo en la puerta de entrada a través de la cual la IA interactúa con las blockchains. Los servidores MCP funcionan como gateways de API unificados para todo el stack de Web3, permitiendo que los agentes de IA lean datos de la blockchain, preparen transacciones y ejecuten acciones on-chain.
Actualmente, la mayoría de los servidores MCP de criptomonedas requieren una configuración con una clave privada, lo que crea un punto único de falla. Si un agente de IA se ve comprometido —como ocurrió con decenas de miles de instancias de OpenClaw— el atacante obtiene acceso directo a los fondos.
Están surgiendo dos modelos de seguridad que compiten entre sí:
1. Firma delegada (controlada por el usuario)
Los agentes de IA preparan las transacciones, pero el usuario conserva el control exclusivo sobre la firma. La clave privada nunca sale del dispositivo del usuario. Este es el enfoque más seguro, pero limita la autonomía del agente.
2. Permisos controlados por el agente (Allowances)
Los agentes tienen sus propias claves y reciben una asignación o permiso (allowance) para gastar en nombre de los usuarios. Las claves privadas son gestionadas de forma segura por el host del agente y el gasto está limitado. Esto permite una operación autónoma, pero requiere confianza en la seguridad del host.
Ninguno de los dos modelos ha sido adoptado ampliamente todavía. La mayoría de las implementaciones de MCP cripto todavía utilizan el peligroso enfoque de "darle al agente tu clave privada", exactamente el escenario con el que contaban los atacantes de ClawHavoc.
Según estimaciones para 2026, el 60 % de las billeteras cripto utilizarán IA agéntica para gestionar carteras, rastrear transacciones y mejorar la seguridad. La industria está implementando la Computación Multipartita (MPC), la abstracción de cuenta, la autenticación biométrica y el almacenamiento local cifrado para asegurar estas interacciones. Estándares como el ERC-8004 (liderado conjuntamente por la Fundación Ethereum, MetaMask y Google) intentan crear una identidad verificable y un historial crediticio para los agentes de IA on-chain.
Pero OpenClaw demostró que estas salvaguardas aún no están implementadas, y los atacantes ya están explotando esa brecha.
La respuesta empresarial de NVIDIA: NemoClaw en el GTC 2026
Mientras se desarrollaba la crisis de seguridad de OpenClaw, NVIDIA vio una oportunidad. En el GTC 2026 a mediados de marzo, la compañía anunció NemoClaw, una plataforma de agentes de IA de código abierto diseñada específicamente para la automatización empresarial con seguridad y privacidad integradas desde su concepción.
A diferencia del enfoque de OpenClaw, centrado en el consumidor e instalable en cualquier lugar, NemoClaw se dirige a las empresas con:
- Herramientas de seguridad y privacidad integradas que abordan las vulnerabilidades que afectaron a OpenClaw.
- Autenticación empresarial y controles de acceso que evitan el desastre de la configuración predeterminada "abierta a internet".
- Soporte multiplataforma que se ejecuta más allá de los chips de NVIDIA, aprovechando los frameworks de IA NeMo, Nemotron y Cosmos de la compañía.
- Ecosistema de alianzas que incluye conversaciones con Salesforce, Google, Cisco, Adobe y CrowdStrike.
El momento no podría ser más estratégico. Mientras la "Fiebre de la Langosta" de OpenClaw exponía los peligros de los agentes de IA centrados en el consumidor, NVIDIA posicionó a NemoClaw como la alternativa segura de grado empresarial, desafiando potencialmente a OpenAI en el mercado de agentes de IA para negocios.
Para las empresas de Web3 que construyen infraestructura integrada con IA, NemoClaw representa una solución potencial a los problemas de seguridad expuestos por OpenClaw: despliegues de agentes de IA gestionados profesionalmente, auditados y asegurados que pueden interactuar de forma segura con activos de blockchain de alto valor.
El llamado de atención que Web3 necesitaba
La crisis de OpenClaw no es solo una historia de seguridad de IA; es una historia de infraestructura blockchain.
Considere las implicaciones:
- Más de 135,000 agentes de IA expuestos con acceso potencial a billeteras cripto.
- 1,184 plugins maliciosos dirigidos específicamente a usuarios de criptomonedas.
- Cinco gigantes tecnológicos chinos impulsando millones de instalaciones sin una revisión de seguridad adecuada.
- Se proyecta que el 60 % de las billeteras cripto usarán agentes de IA para finales de año.
- No existen estándares de seguridad ampliamente adoptados para las interacciones entre IA y blockchain.
Este es el "momento de seguridad de la cadena de suministro" de Web3, comparable al ataque de SolarWinds en las finanzas tradicionales (TradFi) de 2020 o al hack de The DAO en el mundo cripto en 2016. Expone una verdad fundamental: a medida que la infraestructura blockchain se vuelve más poderosa y automatizada, la superficie de ataque se expande exponencialmente.
La respuesta de la industria definirá si los agentes de IA se convierten en una puerta de enlace segura a la funcionalidad de Web3 o en la vulnerabilidad más grande que el espacio haya visto jamás. La elección entre modelos de firma delegada, permisos para agentes, soluciones MPC y abstracción de cuenta no es solo técnica; es existencial.
Qué deben hacer los desarrolladores de Web3 ahora
Si estás construyendo en Web3 e integrando agentes de IA —o planeas hacerlo— aquí tienes la lista de verificación:
- Audita la seguridad de tu servidor MCP: Si estás requiriendo claves privadas para el acceso de agentes de IA, estás creando vectores de ataque al estilo ClawHavoc.
- Implementa firma delegada: Los usuarios siempre deben conservar el control exclusivo sobre la firma de transacciones, incluso cuando la IA las prepare.
- Usa modelos basados en permisos para agentes autónomos: Si los agentes necesitan actuar de forma independiente, dales claves dedicadas con límites de gasto estrictos.
- Nunca instales agentes de IA con configuraciones de red predeterminadas: Vincula siempre a localhost (
127.0.0.1) a menos que tengas autenticación de grado empresarial.
- Trata los mercados de agentes de IA como tiendas de aplicaciones: Exige firma de código, auditorías de seguridad y sistemas de reputación antes de confiar en habilidades de terceros.
- Educa a los usuarios sobre los riesgos de los agentes de IA: La mayoría de los usuarios de cripto no entienden que un agente de IA es funcionalmente equivalente a darle a alguien acceso root a su computadora.
La crisis de OpenClaw nos enseñó que la seguridad por defecto importa más que las funcionalidades. La carrera por desplegar agentes de IA no puede superar a la carrera por asegurarlos.
¿Estás construyendo infraestructura blockchain que se conecta a agentes de IA? BlockEden.xyz proporciona infraestructura de API de grado empresarial para más de 40 blockchains con una arquitectura que prioriza la seguridad, diseñada para integraciones de alto riesgo. Explora nuestros servicios para construir sobre cimientos diseñados para durar.
Fuentes:
