Un robo de 600 millones en criptomonedas

El 10 de agosto de 2021 Poly Network, un protocolo que permite mover activos digitales entre distintas cadenas de bloques (entre ellas Ethereum, Binance Smart Chain y Polygon), anunció que había sido atacado y que le habían sustraído activos por valor de más de 600 millones de dólares. Las estimaciones iniciales hablaban de unos 610 millones, lo que convertía el episodio en uno de los mayores robos conocidos en el mundo de las finanzas descentralizadas.

Lo más llamativo llegó después: el autor del ataque empezó a devolver fondos en cuestión de horas y, según la firma de análisis Elliptic, el 11 de agosto ya había restituido unos 258 millones de dólares. Quedaba, sin embargo, una parte importante sin recuperar, más de 200 millones, bloqueada en una cuenta protegida por una contraseña que solo conocía el atacante, y la propia plataforma pidió públicamente su devolución.

Qué es un puente entre cadenas

Las criptomonedas viven en redes separadas que, por diseño, no se comunican entre sí. Un puente resuelve ese problema: bloquea un activo en una cadena y emite su equivalente en otra, de modo que el usuario puede moverlo sin venderlo. Para que funcione, el puente custodia en sus contratos grandes cantidades de activos, y quien controle esos contratos controla los fondos. Los usuarios no ven el puente: perciben únicamente que su activo aparece en la otra red, y confían en que detrás exista una custodia segura.

Según los primeros análisis, el atacante logró manipular funciones que gobiernan esos contratos y, con ellas, autorizar movimientos que no debían producirse. Los puentes concentran valor y complejidad a la vez, de ahí que sean un objetivo atractivo para los delincuentes. Una auditoría previa del código reduce el riesgo, pero no lo elimina. Por eso conviene no dar por seguro un activo solo porque su código haya sido auditado.

Una devolución poco habitual

En la mayoría de los ataques de este tipo, los fondos se pierden de forma definitiva: se dispersan entre direcciones, se mezclan o se convierten en otros activos con rapidez. Que el responsable decida devolver una parte, sea cual sea su motivación, es una excepción y no una regla, y no hay manera de saber hasta dónde llegará la restitución.

Tampoco hay un marco claro al que acudir. No existe un organismo que garantice lo perdido, y la identificación y persecución de los autores, cuando es posible, es lenta y compleja. La reclamación depende de que quien sustrajo los activos decida cooperar o de que las autoridades consigan localizarlo. Es un contraste claro con el sistema financiero tradicional, donde las operaciones pueden bloquearse, revertirse o investigarse con herramientas legales consolidadas.

Qué enseña a empresas y familias

Los depósitos bancarios están cubiertos por un fondo de garantía hasta 100.000 euros por titular y entidad; los criptoactivos, no. El Banco de España y la CNMV han advertido en varias ocasiones de que estos productos no están regulados ni cuentan con protección específica. La Comisión Europea propuso en septiembre de 2020 un reglamento para el sector, conocido como MiCA, que sigue en tramitación.

Quien ya tenga exposición a criptoactivos haría bien en tener claro dónde están custodiados, quién controla las claves, qué plataformas intermedian y qué riesgos técnicos asume en cada una. Esta nota es solo informativa y no constituye recomendación de inversión, ni de compra ni de venta. Los costes de una mala decisión de custodia pueden ser totales y, en la mayoría de los casos, irreversibles.

En este mundo el código es la norma, y también el principal riesgo.

Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.