Saltar al contenido principal

135 publicaciones etiquetados con "Seguridad"

Ciberseguridad, auditorías de contratos inteligentes y mejores prácticas

Ver Todas las Etiquetas

Proyecto Ketman: Cómo 100 operativos norcoreanos se infiltraron en la Web3

· 10 min de lectura
Dora Noda
Software Engineer

Cien operativos de Corea del Norte. Cincuenta y tres proyectos de criptomonedas. Seis meses de un paciente trabajo de inteligencia — y la incómoda conclusión de que el ataque más peligroso de la RPDC contra la Web3 no es el próximo exploit, sino el ingeniero que ya integró (merged) código en tu rama main el trimestre pasado.

Ese es el hallazgo principal del Proyecto Ketman, una iniciativa respaldada por la Fundación Ethereum que opera bajo el programa de seguridad ETH Rangers. Su revelación de abril de 2026 no describe un hackeo. Describe una fuerza laboral — una red de suministro de mano de obra a largo plazo que ha estado canalizando silenciosamente ingresos para la RPDC a través de nóminas de cripto, mientras establece el tipo de acceso interno que hace posibles eventos como el robo de 1,500 millones de dólares de Bybit en primer lugar.

Para una industria condicionada a pensar en el riesgo de la RPDC como algo que ocurre en la multisig, este es un cambio de categoría. La amenaza ya no es solo "van a entrar". Es "ya están dentro, y ellos escribieron el script de construcción (build script)".

El contagio en la sombra de DeFi: cuando un hackeo de $25M desencadena $500M en pérdidas en cascada

· 12 min de lectura
Dora Noda
Software Engineer

El 22 de marzo de 2026, un atacante depositó unos 100,000 dólares de USDC en un protocolo de monedas estables del que la mayoría del mundo cripto nunca había oído hablar. Diecisiete minutos después, se marchó con aproximadamente 25 millones de dólares en ETH. Al final de la semana, el daño real no era de 25 millones de dólares. Era de más de 500 millones de dólares, repartidos por mercados de préstamos que nunca habían sido tocados por el propio exploit.

Bienvenidos al problema del contagio en las sombras de DeFi: el riesgo sistémico que nadie está valorando, porque nadie tiene un mapa de las tuberías.

Siete llamadas telefónicas y un acuerdo de 5 millones de dólares: el escándalo Milei-Libra se convierte en el ajuste de cuentas cripto que define a América Latina

· 12 min de lectura
Dora Noda
Software Engineer

En la noche del 14 de febrero de 2025, Javier Milei — el autodenominado presidente "anarcocapitalista" de Argentina — publicó un enlace a una memecoin llamada LIBRAparasusmillonesdeseguidoresenX.Enmenosdeunahora,lacapitalizacioˊndemercadodeltokensuperoˊlosLIBRA para sus millones de seguidores en X. En menos de una hora, la capitalización de mercado del token superó los 4.5 mil millones. A la mañana siguiente, se había desplomado un 96 % , eliminando aproximadamente $ 251 millones de las billeteras de unos 114,000 operadores minoristas. Durante catorce meses, Milei insistió en que no tuvo participación directa, alegando que simplemente había "compartido información" sobre un proyecto que no investigó adecuadamente.

Los documentos judiciales publicados este mes cuentan una historia diferente. Según los registros telefónicos obtenidos por los fiscales federales argentinos y reportados inicialmente por The New York Times, Milei intercambió siete llamadas telefónicas con el cabildero cripto Mauricio Novelli — una figura clave detrás del lanzamiento de LIBRA — en la misma noche de la promoción. Las llamadas ocurrieron tanto antes como después de que Milei publicara el mensaje. Los fiscales también recuperaron un borrador de acuerdo del teléfono de Novelli que describía un pago de $ 5 millones vinculado al apoyo promocional del presidente.

Bitcoin resistente a la computación cuántica sin un soft fork a 200 $ por transacción

· 12 min de lectura
Dora Noda
Software Engineer

¿Qué pasaría si pudieras proteger tu Bitcoin contra la computación cuántica hoy mismo — sin bifurcaciones duras (hard forks), sin bifurcaciones suaves (soft forks), sin esperar siete años a un consenso de gobernanza — siempre y cuando estuvieras dispuesto a pagar unos 200 $ por transacción?

Esa es la oferta que pone sobre la mesa un nuevo artículo de StarkWare que se ha convertido silenciosamente en uno de los documentos de investigación de Bitcoin más importantes de 2026. El 9 de abril, el investigador de StarkWare, Avihu Levy, publicó «QSB: Quantum Safe Bitcoin Transactions Without Softforks» (QSB: Transacciones de Bitcoin resistentes a la computación cuántica sin soft forks) y, en menos de 24 horas, CoinDesk, The Quantum Insider y Bitcoin Magazine lo presentaron como una posible vía de escape para los aproximadamente 4 millones de BTC — más de 280 000 millones de dólares a precios de abril — que ya se encuentran en direcciones vulnerables a la computación cuántica.

El inconveniente es real. El alivio también lo es. Juntos, redefinen cómo los poseedores serios de Bitcoin deberían pensar sobre el Día Q (Q-Day).

Proyecto Glasswing: Cómo el cartel de seguridad de IA de 100 millones de dólares de Anthropic obliga a las criptomonedas a entrar en una economía de defensa de dos niveles

· 13 min de lectura
Dora Noda
Software Engineer

El 7 de abril de 2026, el Secretario del Tesoro Scott Bessent y el Presidente de la Reserva Federal Jerome Powell convocaron a los Directores Ejecutivos de Citigroup, Morgan Stanley, Bank of America, Wells Fargo y Goldman Sachs a una reunión de emergencia en la sede del Tesoro. El tema no era una quiebra bancaria, una decisión sobre las tasas o un régimen de sanciones. Se trataba de un único modelo de IA desarrollado por un laboratorio de investigación de San Francisco — Claude Mythos Preview de Anthropic — que silenciosamente había encontrado miles de vulnerabilidades de alta gravedad en todos los sistemas operativos principales y en todos los navegadores web importantes, de las cuales más del 99 % aún no habían sido parcheadas.

Tres días antes, Anthropic había anunciado el Proyecto Glasswing: un compromiso de hasta $ 100M en créditos de uso de Mythos para una coalición cerrada de doce gigantes de la tecnología, la seguridad y las finanzas — AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, la Fundación Linux, Microsoft, NVIDIA, Palo Alto Networks — además de más de 40 mantenedores críticos de código abierto. Todos los demás, incluidos Coinbase y Binance, quedaron para negociar desde fuera del perímetro.

Para el sector de las criptomonedas, las implicaciones son más profundas que el lanzamiento de una herramienta de seguridad típica. Glasswing es la primera vez que un laboratorio privado de IA define de manera efectiva una economía de descubrimiento de vulnerabilidades de dos niveles, y la industria de las criptomonedas — que perdió más de $ 3B por exploits solo en el primer semestre de 2025 — tiene que decidir si pertenece al interior o al exterior de ese perímetro.

Qué hace realmente Mythos

El enfoque de la propia Anthropic es inusualmente crudo. En pruebas internas, Mythos identificó un error de 27 años de antigüedad en OpenBSD que ningún auditor humano había sacado a la luz, y luego encadenó vulnerabilidades consecutivas para salir de los sandboxes de los navegadores modernos. Las auditorías de contratos inteligentes tradicionales tardan semanas. Mythos genera rutas de ataque efectivas en segundos.

Esa asimetría es la historia. El modelo no solo señala posibles errores; autogenera código de exploit funcional y orquesta cadenas de ataque de múltiples etapas. Anthropic consideró que la capacidad era "súper peligrosa" para un lanzamiento público sin supervisión, por lo que Mythos Preview no está disponible a través del acceso normal a la API. En su lugar, reside detrás de la puerta de Glasswing.

La coalición no es una colaboración de investigación en el sentido académico. Los participantes reciben acceso en vivo a Mythos para cazar vulnerabilidades en sus propios sistemas — implementaciones de TLS, primitivas AES-GCM, demonios SSH, código del kernel y, en el caso de JPMorgan, las pilas internas de pago y trading que liquidan billones de dólares diariamente. Anthropic se ha comprometido a publicar un informe público de 90 días a principios de julio de 2026 resumiendo lo que Glasswing ha solucionado.

Por qué Coinbase y Binance ahora negocian desde fuera del muro

El director de seguridad de Coinbase, Philip Martin, ha confirmado públicamente que la empresa está en "comunicación cercana" con Anthropic, planteando el objetivo como la construcción de un "sistema inmunológico de IA" — utilizando Mythos de forma defensiva para escanear sus propios sistemas antes de que alguien con una capacidad comparable lo use de forma ofensiva. El CSO de Binance describió una evaluación paralela, citando tanto la ventaja defensiva como la superficie de amenaza.

El problema de la asimetría para los exchanges de criptomonedas es brutal. Un exchange centralizado posee claves de hot wallets, saldos de usuarios y una pila de custodia que cualquier operador ofensivo moderadamente motivado pagaría siete cifras por sondear. Si Mythos — o un modelo de capacidad equivalente filtrado por un empleado, un actor patrocinado por el estado o un eventual competidor de pesos abiertos — termina en manos de atacantes antes de que los exchanges refuercen sus sistemas, la ventana de explotación se mide en horas, no en trimestres.

Ese es el núcleo del dilema de Glasswing. Los exchanges que no están dentro de la coalición no pueden usar Mythos para pre-auditar su propio código. Pueden usar herramientas de segundo nivel, pero la brecha de capacidad importa. Un error que Mythos detecta en 30 segundos podría llevarle a un auditor humano tres semanas, y podría ser encontrado por un adversario con acceso a una IA comparable en minutos.

El contexto de los $ 3B: Por qué la asimetría de velocidad es una amenaza existencial para DeFi

El primer semestre de 2025 registró más de $ 3B en pérdidas en plataformas Web3. Solo los exploits de control de acceso representaron $ 1.63B — la categoría principal en el Top 10 de Contratos Inteligentes de OWASP de ese período. El informe de 2025 de FailSafe contabilizó $ 2.6B en pérdidas en 192 incidentes. Immunefi ha pagado más de $ 115M en recompensas por errores en más de 400 protocolos y afirma haber evitado más de $ 25B en pérdidas potenciales.

Ahora superponga la capacidad de la clase Mythos a ese modelo de amenaza. Un protocolo con $ 500M de TVL que depende de una auditoría trimestral de una firma de primer nivel ya estaba perdiendo la carrera contra atacantes bien financiados. Cuando una de las partes de la mesa puede autogenerar cadenas de exploits en segundos, la cadencia de auditoría que definió la seguridad de DeFi desde 2020 hasta 2025 deja de funcionar.

El equivalente defensivo existe pero va a la zaga. El AI Auditor de CertiK, de código abierto tras seis meses de pruebas internas, logra una tasa de acierto acumulada del 88.6 % en 35 incidentes de seguridad web3 reales de 2026. Ejecuta escáneres especializados paralelos a través de un validador de múltiples etapas para filtrar duplicados y hallazgos no explotables. CertiK ha señalado más de 180,000 vulnerabilidades a lo largo de sus ocho años de historia y ha asegurado más de $ 600B en activos digitales.

Pero el 88.6 % no es el 100 %, y un auditor de código abierto que se ejecuta en minutos no es lo mismo que un modelo de frontera que razona sobre clases de vulnerabilidades novedosas en segundos. La brecha entre lo que obtienen los socios de Glasswing y lo que ofrecen las herramientas públicas es estructural.

Tres arquitecturas de seguridad en competencia

La industria de las criptomonedas ahora tiene que elegir entre tres modelos incompatibles para la seguridad en la era de la IA :

Recompensas por errores públicas (Immunefi). Descentralizadas, alineadas económicamente, probadas a escala — 115Mpagados,115 M pagados, 25 B ahorrados. Pero la estructura de incentivos asume que los atacantes y los defensores operan a una velocidad aproximadamente equivalente. Mythos rompe esa suposición. Un investigador de sombrero blanco (white-hat) que busca una recompensa de 50Knopuedesuperarlaofertadeunactorrespaldadoporunestadoquepaga50 K no puede superar la oferta de un actor respaldado por un estado que paga 5 M por un zero-day en un protocolo de $ 10 B.

Auditoría de IA de código abierto (CertiK, Sherlock, Cyfrin). Acceso democrático a una capacidad de IA de nivel medio, tasa de acierto del 88.6 %, se integra en los flujos de trabajo de los desarrolladores. Preserva el espíritu nativo de las criptomonedas de que las herramientas de seguridad deben ser públicas. Pero el techo de capacidad está por debajo de lo que obtienen los socios de Glasswing, y la brecha se agrava a medida que los modelos de frontera mejoran.

IA de frontera con acceso restringido (Glasswing). El mejor descubrimiento de vulnerabilidades de su clase, pero solo para los miembros de una coalición privada que actualmente no incluye a ninguna empresa nativa de las criptomonedas. Crea niveles claros de ciberdefensa donde el interior del muro es más seguro que el exterior.

Los tres modelos no son mutuamente excluyentes — un exchange podría ejecutar el auditor de CertiK en cada despliegue de contrato, mantener una recompensa en Immunefi y presionar por una asociación con Glasswing — pero implican estructuras de industria muy diferentes. Si Glasswing se convierte en el nivel predeterminado para la infraestructura "sistémicamente importante", los custodios más grandes de cripto enfrentarán presión para entrar, y los protocolos que no puedan entrar enfrentarán una penalización de precio en su prima de riesgo.

El enfoque sistémico lo cambia todo

Lo que hizo que la reunión Bessent-Powell del 7 de abril fuera notable no es el hecho de que los reguladores hablaran con los CEOs de los bancos sobre el ciberriesgo. Eso sucede habitualmente. El hecho notable es el enfoque: la capacidad cibernética de clase IA ahora está siendo tratada como un catalizador potencial para eventos financieros sistémicos, a la par con una crisis de deuda soberana o un fallo importante de una cámara de compensación.

Ese enfoque tiene consecuencias de segundo orden para las criptomonedas. Los emisores de stablecoins que mantienen decenas de miles de millones en reservas, los custodios que mantienen BTC y ETH institucionales, y los motores de emparejamiento de los exchanges que procesan cientos de miles de millones en volumen mensual, todos se encuentran directamente dentro de la definición de "sistémicamente importante" que los reguladores están comenzando a aplicar al ciberriesgo de IA. Si la próxima reunión al estilo Powell-Bessent ocurre y el liderazgo de las criptomonedas no está en la mesa, eso es tanto una señal como un problema.

La señal regulatoria importa porque el informe público de 90 días de Glasswing en julio de 2026 publicará tanto lo que los socios corrigieron como lo que la industria en general debería aprender. Si ese informe documenta clases de vulnerabilidades que Mythos encontró en infraestructuras críticas, y los protocolos cripto no han realizado un trabajo equivalente, la brecha será visible para los reguladores, aseguradores y asignadores institucionales que valoran el riesgo de contraparte.

Qué significa esto para los proveedores de infraestructura

La IA ofensiva a velocidad de máquina cambia la cadencia de auditoría requerida para defender los sistemas de producción. Un protocolo o proveedor de infraestructura que dependía de auditorías anuales, pruebas de penetración trimestrales y respuesta reactiva a incidentes necesita cambiar a un red-teaming continuo asistido por IA. Eso es costoso, y el gasto recae de manera desigual en todo el stack.

Para los proveedores de RPC, infraestructura de API y servicios de nodos que se sitúan entre los agentes y las cadenas, la presión es endurecer la superficie donde termina el tráfico iniciado por máquinas. El volumen de transacciones impulsado por agentes ya crea un perfil de amenaza diferente al de las DApps impulsadas por humanos: picos intensos, horarios predecibles y grafos de llamadas deterministas que un atacante puede modelar con mayor precisión que una base de usuarios humanos dispersos.

BlockEden.xyz opera infraestructura de RPC y API de grado empresarial en Sui, Aptos, Ethereum, Solana y otras cadenas principales, con seguridad y confiabilidad diseñadas para servir tanto a desarrolladores humanos como a cargas de trabajo de agentes autónomos. Explore nuestros servicios para construir sobre una infraestructura diseñada para resistir en un entorno de amenazas acelerado por la IA.

La pregunta abierta hacia julio de 2026

El informe de 90 días de Glasswing es el punto de inflexión. Si documenta una gran acumulación de vulnerabilidades graves corregidas en los sistemas de AWS, Google, Microsoft, Apple y JPMorgan, el argumento para expandir la coalición se fortalece, y aumenta la presión sobre Anthropic para agregar miembros nativos de cripto o para licenciar un acceso equivalente a Mythos a través de una relación formal con proveedores. Si el informe no cumple con las expectativas — cuenta en exceso los hallazgos de CVE, documenta principalmente errores de baja gravedad o presenta problemas que los escáneres existentes ya detectaron — el modelo Glasswing pierde parte de su mística regulatoria y la alternativa de código abierto de la industria cripto parece relativamente más fuerte.

De cualquier manera, el status quo de 2020-2025 ha desaparecido. La combinación de una reunión de emergencia Bessent-Powell, un compromiso de 100MdeAnthropic,unatasadel99100 M de Anthropic, una tasa del 99 % + de errores no parcheados descubiertos por Mythos y 3 B en pérdidas anuales de DeFi significa que la seguridad en la era de la IA ya no es una cuestión de investigación. Es una cuestión de estructura de mercado, y la respuesta de las criptomonedas definirá si los próximos $ 100 B de valor on-chain se encuentran dentro o fuera de un perímetro defendible.

Fuentes

Secuestro del dominio Bonk.fun: Los ataques de front-end son el vector de amenaza de mayor crecimiento en el mundo cripto

· 11 min de lectura
Dora Noda
Software Engineer

El 12 de marzo de 2026, un launchpad de Solana impulsado por la comunidad que procesaba cientos de miles de dólares en tarifas diarias se convirtió brevemente en una trampa para drenar billeteras — y los contratos inteligentes que lo impulsaban nunca fueron tocados. Bonk.fun, la plataforma de memecoins con la marca letsBONK respaldada por Raydium y el BONK DAO, sufrió el secuestro de su dominio, se inyectó una solicitud de firma falsa de "Términos de servicio" en su front-end y aproximadamente 35 billeteras fueron vaciadas antes de que el equipo detectara el compromiso. Los atacantes no necesitaron una vulnerabilidad de día cero. Solo necesitaron un nombre de host.

Esa única hora de caos captura lo que los equipos de seguridad en todo el ecosistema DeFi han estado susurrando desde 2023 y gritando desde el atraco de $ 1,4 mil millones a Bybit: el código de Solidity ya no es el objetivo fácil. El front-end lo es. Y el punto ciego colectivo de la industria está costando a los usuarios más que cualquier explotación de contrato inteligente en la historia.

Circle Arc apuesta el futuro de las stablecoins a la criptografía resistente al cómputo cuántico — Por qué la primera L1 post-cuántica es crucial antes que Bitcoin

· 16 min de lectura
Dora Noda
Software Engineer

¿Qué pasaría si el mercado de las stablecoins de 200 mil millones de dólares estuviera a punto de elegir a un ganador basado no en la velocidad, las comisiones o la liquidez, sino en una criptografía que no existe en producción en ningún otro lugar?

Esa es la apuesta que acaba de hacer Circle. En abril de 2026, el emisor de USDC publicó una hoja de ruta de seguridad poscuántica por fases y de stack completo para Arc, su próxima cadena de bloques de Capa 1. Arc debutará en la mainnet con billeteras y firmas opcionales resistentes a la computación cuántica basadas en criptografía de red (lattice) estandarizada por el NIST. Ninguna otra L1 importante —ni Bitcoin, ni Ethereum, ni Solana— ofrece esto actualmente en su lanzamiento. Arc aspira a ser la primera cadena donde lo "poscuántico" sea una característica operativa, no un debate de gobernanza a años de distancia.

El momento elegido no es accidental. Seis días antes del anuncio de Circle, Google Quantum AI publicó una investigación que reduce en un factor de veinte la cantidad de cúbits necesarios para romper la criptografía de curva elíptica de Bitcoin. Google afirma ahora que la industria necesita migrar para 2029. Para una cadena de stablecoins que apunta a BlackRock, Visa, HSBC y compromisos institucionales de diez años, un "lo resolveremos más tarde" no es una respuesta creíble.

Una cadena nativa de stablecoins con tráfico pesado en la testnet

Arc no es la típica "cadena de capital de riesgo cripto". Es un sistema operativo para stablecoins, construido por la empresa con la segunda stablecoin regulada más grande del mundo.

La capitalización de mercado de USDC se sitúa en torno a los 77.5 mil millones de dólares, solo por detrás de Tether. La testnet de Arc, que se lanzó en octubre de 2025, ya cuenta con BlackRock, Visa, HSBC, AWS y Anthropic como participantes. Visa está evaluando canales de pago respaldados por stablecoins para liquidaciones transfronterizas. El equipo de activos digitales de BlackRock está explorando casos de uso de FX on-chain y mercados de capitales para sus fondos tokenizados. Estos no son simples pilotos —son las instituciones que definen lo que realmente significa "blockchain empresarial" en 2026.

El stack técnico de la cadena está ajustado para esta audiencia:

  • USDC como gas nativo. No hay un token nativo volátil del que rendir cuentas. Las comisiones están denominadas en dólares y son predecibles —una característica que los departamentos financieros han estado exigiendo desde 2017.
  • Consenso Malachite. Construido por el equipo que Circle adquirió de Informal Systems, Malachite es un motor de Tolerancia a Fallas Bizantinas (BFT) verificado formalmente. Las pruebas de rendimiento muestran una finalidad de aproximadamente 780 milisegundos con 100 validadores en bloques de 1 MB.
  • Motor de FX integrado. Un sistema RFQ de grado institucional para liquidaciones PvP (pago contra pago) las 24 horas, los 7 días de la semana, entre stablecoins.
  • Privacidad opcional. Saldos y transacciones blindados selectivamente —un guiño a las empresas que no pueden publicar cada pago de nómina en un explorador público.

El CEO de Circle, Jeremy Allaire, confirmó en un evento en Seúl el 14 de abril de 2026 que se está considerando activamente un token nativo de Arc, principalmente para gobernanza, incentivos para validadores y alineación económica —pero no para el gas. Eso seguirá siendo USDC.

La propuesta es clara: Arc es la cadena en la que construyes si tu equipo de cumplimiento lee la sección de criptografía.

Por qué lo cuántico se convirtió en un problema urgente

Durante la mayor parte de la última década, la "amenaza cuántica para Bitcoin" fue un experimento mental de sobremesa. Eso cambió en marzo de 2026.

Google Quantum AI publicó una investigación que muestra que romper la criptografía ECDSA que protege a Bitcoin, Ethereum y prácticamente a todas las principales criptomonedas ahora requiere aproximadamente veinte veces menos cúbits de lo que sugerían las estimaciones anteriores. Específicamente: menos de 500,000 cúbits físicos, con un tiempo de ejecución medido en minutos.

La cifra más dramática dentro del documento es el riesgo en la ventana de transacción. Bajo condiciones idealizadas, Google estima una probabilidad del 41 por ciento de que una computadora cuántica preparada pueda derivar una clave privada a partir de una clave pública antes de que se confirme una transacción de Bitcoin. Un ataque en tiempo real en la mempool, no una ruptura post-hoc que tome años.

Google acompañó el hallazgo con una fecha límite específica. En un documento de seguimiento recogido por Bloomberg, la compañía declaró que sus propios sistemas —y por implicación la infraestructura financiera más amplia que utiliza las mismas curvas elípticas— deben migrar a esquemas poscuánticos para 2029. Google tiene cuidado de señalar que esto no es una predicción de que las computadoras cuántica romperán la criptografía para 2029. Es una postura de que planean estar preparados antes de que ocurra.

Tres meses, tres documentos importantes sobre computación cuántica, una dirección consistente: el cronograma se está comprimiendo.

La respuesta de Bitcoin ha sido fusionar el BIP 360, que introduce un formato de dirección resistente a la computación cuántica llamado Pay-to-Merkle-Root, en el repositorio formal de mejoras. Fusionado no es desplegado. La migración de firmas a nivel de núcleo para Bitcoin está, siendo realistas, a años de distancia. Ethereum tiene discusiones activas de EIP pero no un cronograma acordado. Solana no tiene ninguna hoja de ruta formal hacia lo cuántico.

Arc está realizando envíos en la mainnet.

La hoja de ruta poscuántica de Arc, descodificada

La hoja de ruta de abril de 2026 de Circle describe cuatro fases, que se extienden hasta 2030.

Fase 1: Lanzamiento de la mainnet — billeteras y firmas resistentes a la computación cuántica. Arc implementará CRYSTALS-Dilithium (ahora estandarizado como ML-DSA) y Falcon como sus esquemas principales de firma poscuántica. Ambos fueron finalizados por el NIST en agosto de 2024 como parte de FIPS 204. Ambos se basan en redes (lattices), lo que significa que su seguridad reside en la dificultad computacional de problemas de redes estructuradas —una clase de problemas para los que no se conoce un algoritmo cuántico eficiente. Crucialmente, la Fase 1 ofrece esto como una opción (opt-in), no como algo obligatorio. Los desarrolladores pueden migrar sus billeteras cuando estén listos; la cadena no rompe las herramientas existentes desde el primer día. Esta es una elección deliberada que prioriza la compatibilidad y reconoce la realidad de los ecosistemas de desarrolladores: una cadena que inutiliza cada librería existente en el lanzamiento no logra la adopción institucional, independientemente de lo avanzada que sea su criptografía.

Fase 2: Cifrado de estado privado. La siguiente capa envuelve las claves públicas en cifrado simétrico para proteger los saldos y los datos de las transacciones contra la vigilancia de la era cuántica. Esto aborda el problema de "recolectar ahora, descifrar después": un adversario que capture los datos de la cadena de bloques hoy podría, una vez que llegue una computadora cuántica criptográficamente relevante, descifrar los gráficos de transacciones históricos. Para las finanzas con stablecoins, donde los metadatos de pago son comercialmente sensibles, esto no es algo teórico.

Fase 3: Seguridad de los validadores. Los mensajes de consenso, las atestaciones y la comunicación entre validadores obtienen firmas poscuánticas. Esto cierra la brecha donde un atacante podría apuntar a la capa de consenso en lugar de a las transacciones de los usuarios individuales.

Fase 4: Infraestructura fuera de la cadena (off-chain). La fase final extiende la cobertura a los protocolos de comunicación, entornos de nube, módulos de seguridad de hardware (HSM) y controles de acceso. El enfoque de stack completo significa cubrir todo el ecosistema.

La estructura por fases de la hoja de ruta es, en sí misma, un diferenciador. Arc no afirma ser "seguro contra lo cuántico desde el primer día" de la manera en que algunos folletos de marketing exageran. Afirma ser la primera L1 donde la resistencia cuántica es un eje de diseño de primera clase, desplegado de forma incremental y con un calendario creíble.

El suplemento institucional — Y el posicionamiento competitivo

Aquí está el argumento que Arc presenta a los participantes de su red de prueba (testnet) : la agilidad criptográfica es ahora una partida presupuestaria en las evaluaciones de riesgo institucional.

Un asignador de capital del tamaño de BlackRock que evalúa qué cadena utilizar para un fondo del mercado monetario tokenizado con un horizonte de diez años no puede asumir que las firmas ECDSA que aseguran ese fondo seguirán considerándose seguras en 2035. La decisión de adquisición conservadora es elegir la cadena que ya tiene una hoja de ruta — no la cadena que intentará resolverlo sobre la marcha.

Esto crea una dinámica de "suplemento cuántico" que no existía en las competencias previas de L1. Los competidores directos de Arc para la liquidación institucional de stablecoins son :

  • Tempo — construido en torno al cumplimiento de ISO 20022 para la mensajería financiera tradicional.
  • Pharos Network — enfocado en finanzas comerciales con KYC a nivel de cadena, tras una Serie A de 44Mconunavaloracioˊnde44 M con una valoración de 1 B.
  • Ethereum mainnet + L2s — el titular con la liquidez más profunda pero con las suposiciones criptográficas más antiguas.
  • Solana, Aptos, Sui — cadenas de alto rendimiento y propósito general con un fuerte volumen de stablecoins pero sin hojas de ruta específicas para el ámbito cuántico.

Cada una de estas tiene fortalezas reales. Ninguna de ellas iguala actualmente la combinación de Arc de gas nativo en USDC, la distribución bancaria y fintech de Circle (Visa, Stripe, Coinbase), finalidad en menos de un segundo y la resistencia cuántica como requisito de diseño. Para las instituciones que optimizan el riesgo criptográfico junto con el rendimiento y el cumplimiento, ese es un paquete diferenciado.

La lectura escéptica también es válida. Los ataques cuánticos a ECDSA siguen siendo, hoy en día, hipotéticos. Una cadena que se lanzó en 2023 con criptografía estándar no ha sido vulnerada y no lo será mañana. La apuesta cuántica de Arc puede que solo importe en 2030 — si es que importa en absoluto según el cronograma que los investigadores cuánticos proyectan actualmente. La migración opcional (opt-in) significa que la seguridad es real solo para los usuarios que la eligen, al menos en la Fase 1.

La respuesta es más sencilla : la migración criptográfica es un indicador rezagado. Para cuando sea obviamente necesaria, será demasiado tarde para realizar ajustes discretamente. Arc está integrando en su precio el resultado de "cola larga" (fat-tail).

Qué significa esto para desarrolladores e infraestructura

Para los constructores, la implicación práctica es que las primitivas de monederos post-cuánticos — antes una curiosidad académica — están a punto de convertirse en una característica de la red principal (mainnet) con tráfico real.

El diseño opcional de Arc significa que las herramientas deben evolucionar : SDK que expongan la elección del esquema de firma como un parámetro de primer nivel, exploradores que representen las firmas ML-DSA de forma limpia, HSM que almacenen claves Dilithium y API que sirvan tanto transacciones clásicas como post-cuánticas sin fragmentar la experiencia del desarrollador. Los equipos que construyan sobre Arc deberán razonar sobre qué clase de firma espera un usuario o contrato inteligente, y cómo migrar a los usuarios entre ellas sin romper los saldos existentes o los flujos de autorización.

Para los proveedores de infraestructura de blockchain — RPC, indexación y servicios de datos — el cambio es menos dramático pero sigue siendo real. Los operadores de nodos deben admitir nuevas rutas de verificación de firmas. Los indexadores deben reconocer los tipos de transacciones post-cuánticas. Los consumidores de API que escriben agentes o backends de DeFi deben manejar un mundo donde no cada firma es un bloque ECDSA con la misma forma.

El punto más amplio es que la diversidad criptográfica está llegando a la capa de aplicación. Durante una década, los desarrolladores pudieron asumir "secp256k1 o Ed25519". La próxima década añadirá esquemas post-cuánticos encima, y las cadenas que hagan esta transición fluida para los desarrolladores capturarán las cargas de trabajo institucionales.

BlockEden.xyz proporciona infraestructura RPC y API de grado empresarial en Sui, Aptos, Ethereum, Solana y más de 20 cadenas. A medida que las cadenas nativas de stablecoins como Arc traen primitivas post-cuánticas a la red principal, el acceso confiable a los datos a través de esquemas de firma y motores de consenso es fundamental. Explore nuestro marketplace de API para construir sobre una infraestructura que está lista para lo que viene después.

Q&A : Las preguntas que los asignadores institucionales realmente se hacen

¿Es Arc la primera blockchain resistente a la computación cuántica? No es la primera en hablar de ello — QANplatform, Algorand y algunas otras han lanzado funciones post-cuánticas parciales. Arc es la primera L1 importante con un respaldo institucional significativo que trata la resistencia cuántica como un requisito de diseño en la red principal, con una hoja de ruta por fases hasta 2030 y esquemas estandarizados por el NIST (ML-DSA, Falcon).

¿Qué tan cerca están las computadoras cuánticas de romper realmente Bitcoin? Se desconoce con precisión, pero el tiempo se está comprimiendo rápidamente. El artículo de Google de marzo de 2026 redujo el requisito estimado de cúbits a menos de 500,000 cúbits físicos. Los sistemas cuánticos actuales están en los pocos miles. La mayoría de los expertos sitúan la fecha creíble más temprana a principios de la década de 2030, con 2029 como la fecha límite de migración recomendada por Google.

¿Tiene Arc un token? No en el lanzamiento. USDC es el gas nativo. El CEO Jeremy Allaire confirmó el 14 de abril de 2026 que Circle está explorando activamente un token nativo de Arc para gobernanza y staking, independiente del gas.

¿Qué significa "resistencia cuántica opcional" en la práctica? Los usuarios y desarrolladores pueden elegir firmas ML-DSA o Falcon al crear el monedero. Los monederos ECDSA existentes siguen funcionando. La migración es voluntaria en la Fase 1, lo que protege la compatibilidad pero significa que solo los usuarios conscientes de la computación cuántica obtienen el beneficio de seguridad al principio.

¿Qué instituciones están en la red de prueba (testnet)? BlackRock, Visa, HSBC, AWS y Anthropic han sido nombradas públicamente, junto con emisores regionales de stablecoins. Cada una está ejecutando cargas de trabajo con formato de producción — pagos transfronterizos (Visa), operaciones de fondos tokenizados (BlackRock), integraciones bancarias (HSBC).

La apuesta a diez años

El planteamiento honesto es este: Arc es una apuesta a que la próxima década estará definida por el flujo de capital institucional hacia las blockchains, y que esas instituciones valorarán cada vez más el riesgo criptográfico de la misma manera que ya valoran el riesgo de crédito y el riesgo de contraparte.

Si esa apuesta es correcta, las cadenas que implementaron primero la criptografía post-cuántica — antes de que fuera una crisis, antes de que los CISO lo preguntaran — tendrán un foso competitivo duradero. Si es incorrecta, Arc seguirá siendo una L1 de stablecoins de alto rendimiento con gas nativo en USDC y una adopción institucional de primer nivel. El riesgo a la baja está limitado; el potencial al alza es una posición estructural en el centro de las finanzas on-chain reguladas.

De cualquier manera, la conversación ha cambiado. La resistencia cuántica ya no es una preocupación teórica para la década de 2030. Es un elemento de la hoja de ruta para 2026, una pregunta de RFP para 2027 y un requisito de auditoría poco después. Circle acaba de ponerlo en el centro de la mesa.

Fuentes

La Billetera que Piensa por Sí Misma: Cómo el Agentic Wallet de Coinbase Reconfigura la Seguridad de los Agentes de IA

· 12 min de lectura
Dora Noda
Software Engineer

¿Qué sucede cuando un agente de IA necesita pagar por algo? La respuesta solía ser complicada: incrustar una clave privada dentro del código del agente, esperar que el modelo no la filtre y auditar manualmente cada transacción. El Agentic Wallet de Coinbase, lanzado en febrero de 2026, ofrece una respuesta fundamentalmente diferente—y puede definir cómo se aseguran los próximos 100 mil millones de dólares en cripto gestionados por IA.

La perspectiva central es engañosamente simple: el agente nunca debería tocar las claves. Pero la ingeniería requerida para hacer que esto funcione a escala representa uno de los cambios arquitectónicos más importantes en la infraestructura Web3 desde que los contratos inteligentes separaron la lógica del almacenamiento de valor.

Tether se convierte en el prestamista de última instancia de DeFi: dentro del fondo de recuperación de Drift de $150M

· 13 min de lectura
Dora Noda
Software Engineer

Cuando los hackers norcoreanos drenaron 286millonesdeDriftProtocolel1deabrilde2026,casinadieesperabaqueelrescatevinieradeTether.Sinembargo,dieciseˊisdıˊasdespueˊs,elmayoremisordestablecoinsdelmundoanuncioˊqueliderarıˊaunacolaboracioˊnde286 millones de Drift Protocol el 1 de abril de 2026, casi nadie esperaba que el rescate viniera de Tether. Sin embargo, dieciséis días después, el mayor emisor de stablecoins del mundo anunció que lideraría una colaboración de 150 millones para reconstruir el exchange de futuros perpetuos más grande de Solana — comprometiendo hasta 127.5millonesdesupropiocapital,unalıˊneadecreˊditode127.5 millones de su propio capital, una línea de crédito de 100 millones vinculada a los ingresos y la promesa de, eventualmente, resarcir aproximadamente $ 295 millones en pérdidas de usuarios.

El acuerdo no tiene precedentes. Aave tiene su Módulo de Seguridad. Compound tiene respaldos basados en COMP. MakerDAO mantiene un búfer de excedentes. Los tres son esquemas de autoseguro construidos a partir de tokens de protocolo y reservas de tesorería. Lo que Tether acaba de hacer en Drift es estructuralmente diferente: un emisor externo de stablecoins con fines de lucro interviniendo como un prestamista privado de última instancia para un protocolo DeFi que no posee, opera ni gobierna. Eso cambia la arquitectura sistémica de las finanzas descentralizadas de formas que el mercado apenas ha comenzado a procesar.

El hackeo que forzó la pregunta

Drift es — o era hasta el 1 de abril — el exchange de futuros perpetuos descentralizado más grande de Solana. Su caída no se debió a un error en un contrato inteligente ni a un fallo del oráculo. Fue la confianza humana, utilizada como arma durante seis meses.

Según informes de The Block, Chainalysis y TRM Labs, el ataque comenzó en el otoño de 2025 cuando individuos que se hacían pasar por una firma de trading cuantitativo se acercaron a los colaboradores de Drift en una importante conferencia de criptomonedas. Durante los meses siguientes, los atacantes entablaron relaciones dentro del equipo, obteniendo finalmente el acceso suficiente para ejecutar una maniobra técnica novedosa utilizando la función "nonces duraderos" de Solana — un mecanismo de conveniencia que permite que las transacciones se firmen por adelantado y se ejecuten más tarde, a veces semanas después.

Los operadores utilizaron nonces duraderos para conseguir que los miembros del Consejo de Seguridad de Drift pre-firmaran a ciegas transacciones inactivas. Esas transacciones, una vez activadas, entregaron el control administrativo del protocolo a direcciones controladas por los atacantes. Desde allí, los atacantes incluyeron en la lista blanca un token falso sin valor llamado CVT como colateral, depositaron 500 millones de CVT a un precio inflado artificialmente y pidieron prestado contra él para retirar aproximadamente $ 285 millones en USDC, SOL y ETH.

Las firmas de inteligencia de blockchain Elliptic, Chainalysis y TRM Labs atribuyeron de forma independiente el incidente a actores de amenazas afiliados a la República Popular Democrática de Corea. Es el mayor exploit de DeFi de 2026 hasta la fecha y el segundo incidente de seguridad más grande en la historia de Solana, solo por detrás del hackeo del puente Wormhole de $ 326 millones en 2022.

Cómo estructuró Tether el rescate

El 16 de abril de 2026, Drift y Tether anunciaron conjuntamente el paquete de recuperación. La cifra principal es de $ 150 millones, pero la arquitectura interna importa más que el número.

  • $ 127.5 millones de Tether — el compromiso ancla, entregado a través de una combinación de capital y facilidades de apoyo.
  • $ 20 millones de socios del ecosistema — creadores de mercado y proveedores de liquidez anónimos.
  • $ 100 millones de línea de crédito vinculada a ingresos — la pieza central, estructurada para que Drift pague a Tether con los ingresos futuros por trading en lugar de ceder capital o control de gobernanza.
  • Subvención del ecosistema — capital sin recurso destinado a las operaciones de relanzamiento.
  • Préstamos para creadores de mercado — facilidad separada que extiende el inventario de USDT a creadores de mercado designados para asegurar una liquidez profunda desde el primer día.

La pieza económicamente más interesante es la línea de crédito vinculada a los ingresos. Tether no está comprando tokens DRIFT, ni ocupando un asiento en la junta, ni adquiriendo capital. Está extendiendo un derecho preferente sobre las futuras comisiones del exchange de Drift. Esa elección es deliberada. El capital (equity) habría creado dolores de cabeza regulatorios — particularmente bajo las reglas de calidad de reserva de la Ley GENIUS que ahora rigen a los emisores de stablecoins relevantes para EE. UU. Una participación en los ingresos es más fácil de divulgar, más fácil de deshacer y más fácil de caracterizar como un préstamo comercial en lugar de una suscripción de valores.

Los usuarios no recibirán USDC o USDT directamente del fondo de recuperación. En su lugar, Drift planea emitir un token de recuperación dedicado — separado del token de gobernanza DRIFT — que representa un derecho transferible sobre el fondo. A medida que se acumulan los ingresos por trading, el fondo acumula valor y los holders de tokens pueden canjear o vender sus derechos en mercados secundarios. Es, funcionalmente, una reclamación de pérdida titulizada denominada en flujos de efectivo futuros del protocolo.

Por qué Tether dijo que sí — Y por qué no es altruismo

La pregunta obvia es por qué Tether pondría $ 127.5 millones en juego por un protocolo que no causó, no operó y no puede controlar. La respuesta reside en una línea del comunicado de prensa: Drift migrará de USDC a USDT como su capa de liquidación en el relanzamiento.

Ese único cambio vale más para Tether que el compromiso de $ 127.5 millones en cualquier horizonte de tiempo razonable. Drift procesaba miles de millones en volumen mensual de perpetuos antes del hackeo, y casi todo se liquidaba en USDC. Convertir ese flujo a USDT — en Solana, donde USDC ha dominado históricamente — expande la huella de Tether en un mercado donde ha sido estructuralmente débil.

La capitalización de mercado de las stablecoins de Tether se sitúa cerca de los 186.7milmillonesaprincipiosde2026,aproximadamenteel58186.7 mil millones a principios de 2026, aproximadamente el 58 % del mercado total de stablecoins de 317 mil millones. Pero su cuota en Solana ha ido a la zaga de USDC durante años. El acuerdo con Drift es una jugada directa por el volumen de liquidación de Solana, acompañada de un halo reputacional: la stablecoin que "salvó a las DeFi" en un momento en que el ecosistema estaba conmocionado.

También hay un ángulo regulatorio. Tether lanzó USAT a principios de 2026 para cumplir con los estándares federales de EE. UU. bajo el régimen de calidad de reservas de la Ley GENIUS. Ser visto como el adulto responsable durante un incidente de seguridad importante — la firma que intervino donde la gobernanza falló — tiene un valor político significativo mientras los reguladores calibran cómo tratar a los emisores extranjeros.

En qué se diferencia esto de todos los respaldos previos de DeFi

DeFi ha sido testigo de recuperaciones tras exploits anteriormente. Ninguna se ha parecido a esta.

El Módulo de Seguridad de Aave depende de que los holders del token AAVE realicen staking en un pool de cobertura de déficit. En una crisis, se puede penalizar (slash) hasta el 30 % de los activos en staking para cubrir pérdidas. La actualización más reciente, Umbrella, extendió la cobertura a reservas en staking de GHO, USDC, USDT y WETH. Se trata de un autoseguro: los usuarios del protocolo, en efecto, se aseguran entre sí a través del token.

El modelo de Compound históricamente se apoya en la tesorería del token COMP y en la gobernanza de la comunidad para autorizar respaldos caso por caso. No existe un mecanismo de cobertura automático.

El búfer de excedentes de MakerDAO acumula ingresos del protocolo a lo largo del tiempo para absorber la deuda incobrable, con la emisión de MKR como el respaldo final cuando el búfer se agota. También es interno: el protocolo se paga a sí mismo por adelantado.

Lo que los tres comparten: el capital de respaldo proviene del interior del protocolo. Los holders del token nativo asumen la primera pérdida. La gobernanza aprueba el mecanismo de antemano. El protocolo está, en un sentido significativo, autosegurado.

La recuperación de Drift es lo opuesto. El capital de respaldo proviene del exterior: de un emisor de stablecoins sin un papel previo en la gobernanza de Drift. El token DRIFT no absorbió la primera pérdida de ninguna manera automática. La recuperación fue negociada, no activada. Y llegó solo porque Tether vio un valor estratégico en proporcionarla.

Esa distinción es importante porque introduce un nuevo modelo: los protocolos DeFi que fallan ahora pueden ser rescatados potencialmente por emisores de stablecoins, pero solo si los términos — migración de la moneda de liquidación, participación en los ingresos, compromisos de liquidez — se alinean con los intereses comerciales del emisor.

Las implicaciones sistémicas de las que nadie habla

Los bancos centrales existen, en parte, porque los mercados de crédito privados se paralizan periódicamente y necesitan una institución con un balance lo suficientemente grande, y un horizonte temporal lo suficientemente largo, para absorber las pérdidas que de otro modo caerían en cascada. La ventana de descuento de la Reserva Federal, la asistencia de liquidez de emergencia del BCE, las instalaciones de creador de mercado de última instancia del Banco de Inglaterra; todas son variaciones sobre el mismo tema.

DeFi nunca ha tenido una institución así. Se espera que los protocolos estén autosegurados a través de sus tokens, sus tesorerías y su gobernanza. Cuando el autoseguro falla — como ha sucedido repetidamente, desde bZx hasta Iron Bank y en innumerables incidentes menores — los usuarios simplemente pierden dinero. A veces la tesorería paga una restitución parcial. A veces, un equipo fundador reconstruye y espera que regrese la buena voluntad de la comunidad. La mayoría de las veces, nada.

El acuerdo entre Drift y Tether propone un equilibrio diferente: un prestamista privado de última instancia, discrecional y motivado comercialmente, situado por encima de la capa del protocolo y dispuesto a absorber el impacto a cambio de ventajas de distribución. Eso es, estructuralmente, un rol de cuasi banco central, solo que operado por una empresa privada con un balance de 186 000 millones de dólares y su propio afán de lucro.

Los observadores deben ser cautelosos al celebrar esto con demasiado entusiasmo. Los bancos centrales públicos actúan como prestamistas de última instancia porque son responsables, transparentes y están legalmente vinculados a mandatos de estabilidad sistémica. Tether no rinde cuentas ante nadie más que sus propietarios y los reguladores en las jurisdicciones donde opera. Si el balance de Tether se convierte en un respaldo de facto para DeFi, la estabilidad sistémica del ecosistema pasa a depender de la voluntad y la capacidad de intervención de un único emisor offshore. Ese es un tipo de centralización diferente al que se suponía que DeFi debía escapar.

También existe un problema de selección. Tether eligió rescatar a Drift porque el acuerdo tenía sentido: conversión de USDC a USDT, cuota de mercado en Solana, una victoria de alto perfil. No todos los protocolos explotados tendrán ese tipo de atractivo estratégico. Un DEX más pequeño en una cadena más pequeña, sin un volumen de liquidación significativo para convertir, probablemente no obtenga nada. El nuevo modelo no es "las stablecoins aseguran DeFi", sino "las stablecoins rescatan selectivamente a los protocolos cuya recuperación sirve a sus intereses comerciales".

Qué observar a continuación

Tres señales le dirán al mercado si esto es un evento único o el comienzo de un patrón.

Primero, si el pool de recuperación realmente realiza los pagos. La estructura es elegante sobre el papel, pero depende de que el volumen de trading de Drift se recupere. Si los usuarios no regresan — si el exploit vinculado a la RPDC daña permanentemente la marca de Drift — la línea de crédito vinculada a los ingresos producirá poco efectivo y los holders de tokens de recuperación absorberán el déficit. Los primeros doce meses posteriores al relanzamiento revelarán si "reembolsado a lo largo del tiempo" significa dieciocho meses o una década.

Segundo, si Circle responde. USDC perdió un importante lugar de liquidación en Solana. Si Circle no monta un contraataque — quizás una línea de respaldo similar anunciada tras el próximo exploit — el mensaje implícito para los protocolos DeFi es claro: elija a su socio de stablecoins teniendo en cuenta su capacidad de rescate.

Terc, si los reguladores tratan esto como préstamos comerciales o algo más. Un emisor privado que extiende líneas de crédito a protocolos explotados suena mucho a lo que hacen los bancos regulados, y los bancos enfrentan reglas sobre capital, concentración y divulgación que los emisores de stablecoins generalmente no enfrentan. El período de implementación de la Ley GENIUS se extiende hasta 2026, y las acciones de cumplimiento en torno a las "actividades comerciales de los emisores de stablecoins" se encuentran entre las fronteras menos exploradas de ese reglamento.

Por ahora, Drift vive, sus usuarios tienen un camino para ser compensados y Solana esquivó un cráter reputacional. Esa es la historia a corto plazo, y es una victoria genuina. La historia a más largo plazo — si Tether acaba de instalarse como el banco central no oficial de DeFi — apenas comienza a desarrollarse.


BlockEden.xyz proporciona infraestructura de indexación y RPC de Solana de grado empresarial para exchanges de futuros perpetuos, plataformas de trading y protocolos DeFi que operan en cadenas de alto rendimiento. Explore nuestro marketplace de APIs para construir sobre bases diseñadas para una confiabilidad de grado de producción.

Fuentes