Para encontrar una aguja en un pajar, la receta oficial lleva décadas siendo la misma: traer más paja.
Lo ha dicho, con otras palabras, alguien que conoce bien la receta.
Hester Peirce, comisaria de la SEC, el regulador bursátil de Estados Unidos, dedicó el 23 de septiembre uno de sus últimos discursos a los pajares de datos. Cada vez los construimos más grandes con la esperanza de encontrar una aguja o dos. Y cuanto más grande es el pajar, más cuesta encontrarlas.
Peirce deja hoy el cargo. Su despedida ha coincidido con una semana que le ha dado la razón por los cuatro costados, y no solo con los datos.
Conviene ponerle nombre a lo que se ha visto, porque se va a repetir: el efecto pajar. Todo lo que se amontona en un solo sitio para vigilarlo o para protegerlo acaba atrayendo justo a quien no debía.
Pasa con los bitcoin. Pasa con las fichas de clientes. Y pasa hasta con las palabras.
La feria y el carterista
Un carterista no recorre el pueblo casa por casa. Espera a las fiestas, cuando todo el mundo se junta en la plaza con la cartera en el bolsillo de atrás. Un solo paseo entre la multitud le rinde más que un mes de visitas.
Los ladrones de este año han hecho exactamente eso. Se han llevado 2.680 millones de dólares en cripto hasta septiembre, unos 2.380 millones de euros, según el recuento de la firma de seguridad CertiK que recoge CoinDesk. Septiembre fue el peor mes del año, con 99 incidentes.
La cifra total importa menos que su reparto. Cinco de los 658 incidentes que contó CertiK suman unos 1.570 millones de dólares. Es decir, casi seis de cada diez dólares robados salieron de cinco sitios.
Los dos mayores fueron de este mes. Bitget, uno de los grandes exchanges del mundo, perdió 387,5 millones en sus monederos conectados a internet. A Liquid, la red paralela a Bitcoin que gestiona una federación de empresas, se le fueron 318,7 millones por un fallo de programa, aunque los atacantes devolvieron después la mayor parte.
Detrás de muchos de esos golpes hay un ladrón con nómina. La firma de rastreo Elliptic atribuye a Corea del Norte más de 1.000 millones de dólares robados este año en más de 51 ataques. Un equipo así no pierde el tiempo con bolsillos sueltos.
Va a la feria.
Y la feria apenas tiene seguro. La capacidad total de cobertura dentro de la cadena era de 130,2 millones de dólares a finales de agosto, según un informe de CoinGecko. No cubriría ni el 5 % de lo robado en nueve meses.
El pajar de papel
Desde ayer, Brasil tiene un montón nuevo, y este no es de monedas. La Resolución 588 del Banco Central obliga a las plataformas a avisar al Coaf, la unidad brasileña contra el blanqueo, de cada envío de 10.000 dólares o más hacia o desde un monedero autocustodiado.
El listón equivale a unos 8.900 euros, o 0,12 bitcoin al precio de hoy. No hace falta ser rico para cruzarlo. Basta con haber ahorrado unos años y decidir guardarlo tú.
Conviene no exagerar. El aviso no prohíbe nada ni pone tope a nada, y comunicar una operación no la convierte en sospechosa, como subraya la Agência Brasil. Tampoco te enterarás: la ley brasileña contra el blanqueo obliga a comunicarlo sin decírselo a nadie, tampoco al afectado.
El problema no es la mala fe de nadie. Es la aritmética del archivo. Peirce lo dijo en el mismo discurso: cada dato personal que el Estado recoge y guarda aumenta la probabilidad de que alguien lo maneje mal, por accidente o a propósito.
Este mes ya hemos visto las dos cosas. Trezor admitió que su filtración alcanzaba a 67.000 clientes más, y Revolut entregó pasaportes e historial a un falso gobierno.
Una lista de quién sacó más de 10.000 dólares a su propio monedero es, en manos equivocadas, un mapa de casas con bitcoin dentro. Y CertiK contó 20 asaltos a domicilio ligados a cripto en el primer semestre, frente a uno solo un año antes.
Cuando el ladrón no encuentra la feria, busca el padrón.
Tus monedas en el montón de otro
Hay montones a los que entras sin darte cuenta. El Reino Unido abrió el 30 de septiembre la ventanilla de licencias cripto, y su reglamento separa con cuidado dos cosas que en la aplicación del móvil parecen iguales.
Si una plataforma guarda tus bitcoin, debe tenerlos en fideicomiso, una caja jurídica aparte que los acreedores no pueden tocar si quiebra. Si los prestas para cobrar intereses, la regla 17.3.4 la libera de esa obligación.
Tus monedas salen de tu trastero y pasan al montón de la empresa. Lo que te queda es una promesa de devolución, como contamos el jueves.
Ya sabemos cómo acaba eso cuando sale mal.
En enero de 2023 un juez de Nueva York decidió que los 4.200 millones de dólares de las cuentas de rendimiento de Celsius eran de la empresa, no de sus clientes, según el resumen del bufete HLC. Unas 600.000 cuentas pasaron de dueñas a acreedoras de un día para otro.
En Europa el mapa es el mismo. La ESMA, el supervisor de mercados de la Unión, aclaró en junio que las garantías de custodia del reglamento MiCA no se aplican a los activos prestados.
Hasta la palabra ha acabado en el montón. El jueves, la SEC propuso reglas para que asesores y fondos guarden las criptomonedas de sus clientes, y llamó autocustodia a que el asesor las guarde él mismo, según detalla CoinDesk. Es decir, lo contrario de lo que significa en Bitcoin.
Las llaves siguen en otra mano. Solo ha cambiado la etiqueta.
El único montón que protege
Todo esto no significa que juntarse sea siempre malo. Hay un montón que protege, y esta semana lo recordó un debate técnico.
Tres investigadores de la firma [alloc] init publicaron Shielded Bitcoin, un diseño que oculta quién paga a quién y cuánto sin cambiar las reglas de la red. Le faltan piezas importantes, como la forma de entrar y salir del sistema, y lo contamos con sus pegas.
La crítica más certera la recogió Cointelegraph: la privacidad depende de la multitud, y todo sistema nuevo empieza con una multitud de uno. Es el bar vacío, donde las gafas oscuras no sirven de nada porque el camarero sabe quién pidió el café.
Ahí está la diferencia. Un montón de dinero en manos de uno atrae al ladrón. Un montón de gente usando la misma herramienta, cada uno con lo suyo, le quita el blanco.
La otra herramienta de la semana va en la misma dirección.
El BIP138, aún en borrador, fija cómo cifrar el descriptor de una multifirma, el mapa sin el cual las frases semilla no encuentran tus monedas. Con él puedes repartir copias en la nube, en el correo y en casa de tu hermana: quien no sea del grupo solo verá letras sin sentido.
Repartir llaves, repartir copias y repartirse entre muchos. Esa es la vacuna contra el efecto pajar.
Arriba, el pasillo; abajo, los bloques
El precio también ha vivido su propio montón. Bitcoin cerró el trimestre con una subida del 42,7 %, el mejor tercer trimestre desde 2017, y los fondos cotizados de Estados Unidos captaron 6.340 millones de dólares en esos tres meses, según Cointelegraph.
Pero lleva más de una semana chocando con el mismo techo.
La firma de análisis Glassnode explicó que hay más monedas de tenedores veteranos compradas entre 84.000 y 85.000 dólares que a cualquier otro precio, según recoge Cointelegraph. Es el vecino que compró en lo alto y cuelga el cartel de se vende el día que recupera lo que pagó.
Esta madrugada un bitcoin se cambia a 85.496 dólares, unos 75.985 euros, según CoinGecko. Es justo el borde de ese montón. Hoy llega el informe de empleo de Estados Unidos, y con los bonos estadounidenses cerca de sus máximos de dos décadas cualquier sorpresa se notará.
Debajo, la cadena no se ha enterado de nada. El bloque 969.528 salió esta madrugada y enviar una transacción costaba entre uno y tres satoshis por byte, céntimos, según mempool.space. Mañana toca ajuste de dificultad, y apunta a quedarse casi plano.
Ningún montón de dinero en esa cadena. Solo bloques, uno detrás de otro, cada diez minutos.
Cómo no ser el pajar
Las comisiones están en mínimos. Es buena semana para repartir lo que tengas amontonado.
- Lo que no necesitas para operar no debe dormir en un exchange. El ladrón va a la feria, no a tu bolsillo.
- Si te ofrecen intereses por tus bitcoin, pregunta dónde duermen esta noche. Si la respuesta es en el montón de la empresa, ya no son tuyos: son una promesa.
- Da solo los datos imprescindibles al comprar. Cada ficha guardada es una ficha que alguien puede filtrar.
- Discreción en casa y fuera: no cuentes cuánto tienes ni dónde lo guardas. Los asaltos a domicilio se han multiplicado.
- Para cantidades serias, una multifirma con llaves en sitios distintos impide vaciarlo todo con una sola amenaza. Guarda una copia del descriptor junto a cada semilla.
- Alba.City no te pedirá nunca tu frase semilla, tus llaves, un código de verificación ni un pago con prisa.
El paso a paso está en la guía de autocustodia, en la de la multifirma explicada y en la de conseguir bitcoin sin dejar tus datos. Sirve igual para un monedero de móvil, o billetera, con cincuenta euros dentro.
Menos paja
Repasa la semana y verás el mismo dibujo en cuatro sitios.
Cinco golpes contra grandes cajas comunes se llevaron más de la mitad de lo robado. Un banco central juntará una lista de quién se lleva sus monedas a casa. Un reglamento deja que tus bitcoin prestados acaben en el montón de otro. Y un regulador ha juntado dos significados opuestos bajo una misma palabra.
Ninguno de esos montones se hizo con mala intención. Todos se hicieron para proteger algo.
Bitcoin propone lo contrario. No esconde nada, porque su cadena está a la vista de todos. Lo que hace es repartir: cada uno con sus llaves, cada copia en un sitio y ninguna caja central que valga la pena asaltar.
Peirce se marcha hoy con una idea que sirve igual para un regulador que para quien guarda sus ahorros. Traer más paja nunca ayudó a encontrar la aguja. Lo único que consigue es un pajar más grande, y los pajares grandes siempre reciben visitas.