El Red Team de Bitcoin: 4.962 hallazgos en 27 horas, y el caso BTCPay Server
Dieciséis investigadores repartidos por el mundo entraron en 390 repositorios de código abierto del ecosistema Bitcoin y, en poco más de un día, encontraron casi cinco mil problemas. El número exacto es 4.962 hallazgos, registrados en una ventana de 27,5 horas entre el 4 y el 5 de agosto. De ellos, 85 fueron clasificados como críticos y 635 como de alta severidad: un promedio de 2,31 hallazgos serios por investigador por hora. Calle, uno de los líderes del grupo, describió el estado de la seguridad del ecosistema en dos palabras: extremadamente malo.
Ese es el Bitcoin Red Team, y el 7 de agosto el mundo vio en tiempo real cómo funciona su trabajo cuando BTCPay Server salió a advertir sobre una vulnerabilidad crítica que estaba siendo explotada activamente. El proyecto agradeció públicamente a los investigadores que se la reportaron en privado. Los nombres son los mismos: Rob Hamilton, Craig Raw, Calle y Evan Kaloudis.
Qué es un red team, y qué hace este en particular
Un red team es un grupo de hackers éticos que ataca deliberadamente un sistema para encontrar sus debilidades antes de que las encuentre un criminal. La práctica viene de la ciberseguridad corporativa y se está volviendo estándar en cripto. Lo particular del caso Bitcoin es la escala, la velocidad y el origen.
El grupo nació como respuesta directa a un desastre. En julio se descubrió una falla en el generador de números aleatorios del firmware de las billeteras Coldcard, presente desde marzo de 2021, que permitía a un atacante predecir las claves privadas. En castellano: lo que debía generar tu llave estaba roto, y por lo tanto tu llave era adivinable. Las pérdidas confirmadas superan los 116 millones de dólares, con más de 1.800 BTC drenados de más de 5.200 direcciones. Los usuarios de Coldcard que todavía no migraron sus fondos a semillas generadas con firmware corregido siguen en riesgo.
Ese golpe movilizó a Calle —ingeniero de software y creador de la versión Android de Bitchat— y a Rob Hamilton, CEO de AnchorWatch, una aseguradora de autocustodia. Armaron el equipo a fines de julio y consiguieron financiamiento de OpenSats, la organización sin fines de lucro que sostiene el desarrollo abierto de Bitcoin. El gasto total superó los 40.000 dólares, casi íntegramente en cómputo de inteligencia artificial.
El método: IA para barrer, humanos para confirmar
Acá está lo que hace a este esfuerzo distinto de una auditoría tradicional. El equipo corre modelos de lenguaje de frontera —Kimi K3, GPT Sol, Fable, Opus y GLM5.2, entre otros— dentro de un arnés de seguridad construido a medida, diseñado específicamente para descubrimiento rápido de vulnerabilidades. Los modelos barren código a una velocidad que ninguna revisión manual podría igualar: el promedio colectivo fue de 166 hallazgos por hora.
Pero el hallazgo del modelo no es el producto final. Investigadores humanos verifican cada resultado y reproducen localmente los casos críticos antes de contactar a nadie. La proporción cuenta la historia: hasta ahora solo alrededor del 21,4% de los hallazgos pudo reproducirse de forma independiente. El equipo sostiene que la combinación de IA con ingenieros experimentados produce mejores resultados que cualquiera de los dos por separado, y que el ciclo de retroalimentación con los desarrolladores está mejorando los arneses semana a semana.
Hay un detalle geopolítico incómodo que la industria notó. Al principio el acceso a los modelos de OpenAI y Anthropic fue limitado, lo que generó una dependencia de modelos chinos de pesos abiertos —Kimi K3 se volvió herramienta primaria—, algo que varios leyeron como mala señal para el liderazgo estadounidense en IA. A medida que el proyecto ganó influencia tras el caso Coldcard, se establecieron conexiones con OpenAI.
BTCPay Server: el proceso funcionando a la vista
BTCPay Server es un procesador de pagos de Bitcoin de código abierto y autoalojado. Permite que comercios y particulares acepten pagos en Bitcoin y Lightning directamente a sus propias billeteras, sin comisiones ni intermediarios. Nació como alternativa a BitPay y goza de un afecto particular entre los maximalistas.
El 7 de agosto el proyecto publicó una advertencia sin ambigüedades: existe una vulnerabilidad crítica siendo explotada activamente, que puede resultar en pérdida de fondos. Las instrucciones fueron precisas. Actualizar a la versión 2.4.2 desde Admin Dashboard → Server → Maintenance → Update, y verificar que el pie de página muestre esa versión. Para quien no pueda hacerlo de inmediato, la indicación fue tajante: apagar el servidor hasta poder actualizar. Un servidor apagado no se puede explotar; uno encendido y sin parche, sí.
Las medidas adicionales apuntan a invalidar credenciales potencialmente comprometidas. Mover el Bitcoin de cualquier billetera hot on-chain creada dentro de BTCPay y generar billeteras nuevas después. Reemplazar los macaroons, recrear el archivo macaroons.db y refrescar las cadenas de autenticación de otros backends de Lightning.
El proyecto no reveló el vector de ataque, cuántas instalaciones fueron comprometidas ni si hubo pérdidas confirmadas. Esa reticencia es parte del protocolo, no una omisión: publicar los detalles técnicos mientras hay servidores sin parchear equivale a entregar el manual de explotación. La información completa llegará cuando la mayoría haya actualizado.
BTCPay es la validación práctica del modelo. La vulnerabilidad llegó al equipo por reporte privado del Red Team, se desarrolló el parche, y recién entonces salió el aviso público. Es exactamente el flujo que la divulgación responsable prescribe.
Sin embargo, los atacantes ya estaban adentro cuando llegó la advertencia. Las divulgaciones previas de BTCPay —incluida la que hizo el equipo de seguridad de Tesla en 2021— se reportaron antes de que hubiera explotación confirmada. Esta vez no.
Y el patrón excede a un proyecto. Coinkite, fabricante de Coldcard, sospecha que los atacantes usaron IA para encontrar la falla del firmware. En agosto, el proveedor de swaps Boltz suspendió su servicio directamente, admitiendo que los ataques asistidos por IA estaban encontrando vulnerabilidades más rápido de lo que su equipo podía corregirlas. En mayo, el investigador Taylor Hornby usó Claude Opus para hallar una vulnerabilidad de cuatro años en Zcash que habría permitido acuñar ZEC falso de forma ilimitada.
Esa es la carrera real. La misma tecnología que permite a dieciséis voluntarios auditar 390 repositorios en un fin de semana está disponible para quien quiera hacer lo contrario. La ventaja del Red Team no es tecnológica sino de organización: llegar primero, reportar en privado y coordinar el parche.
Hay una asimetría estructural que conviene nombrar. El costo de encontrar el bug ya bajó a casi nada; el costo de arreglarlo sigue recayendo sobre mantenedores que en muchos casos son voluntarios o equipos de dos personas. Los proyectos de privacidad y coinjoin concentraron el 24% de los hallazgos críticos, y rara vez tienen presupuesto de auditoría.
El equipo planea liberar su arnés como software abierto, para que cualquier empresa pueda correrlo contra su propio código. Aclara además que esta auditoría es la primera fase de un esfuerzo continuo, no un evento único: queda por delante confirmar cuáles de los miles de hallazgos son realmente explotables.
Nada de esto compromete al protocolo Bitcoin, que no fue el objetivo. Lo auditado es la capa de herramientas y aplicaciones con la que la gente interactúa.
Por Sistemas, el 07/08/2026.
Siguiente