Cada cierto tiempo aparece un titular parecido: "hackean [nombre de exchange] y roban millones en criptomonedas". Es fácil leerlo y concluir que "las criptomonedas no son seguras" o que "hackearon el Bitcoin". Ninguna de las dos cosas es exactamente lo que pasó. Entender la diferencia es importante porque cambia por completo dónde está el riesgo real.
Custodia propia frente a custodia de un exchange
Como se explica en el artículo sobre qué son las criptomonedas, tus fondos no están "guardados" en ningún sitio físico: lo que existe es una clave privada que demuestra que controlas una dirección del blockchain. Aquí hay dos formas de gestionar esa clave:
- Custodia propia: tú generas y guardas la clave privada, normalmente en una wallet que controlas. Nadie más puede mover tus fondos, pero tampoco hay nadie a quien llamar si la pierdes o te la roban.
- Custodia de un exchange: cuando compras criptomonedas en un exchange centralizado y las dejas ahí, no tienes tú la clave privada. La tiene el exchange, en sus propios servidores, agrupada junto con la de millones de usuarios más. Tú tienes una cuenta con un saldo, parecido a una app bancaria — pero sin las protecciones de un banco.
Esta segunda opción es cómoda: no tienes que preocuparte de perder una clave privada. Pero significa que estás confiando en la seguridad informática de otra empresa, no en el protocolo blockchain en sí.
¿Qué es exactamente lo que se hackea?
Un exchange centralizado necesita mantener buena parte de esos fondos en "wallets calientes" — conectadas a internet, para poder procesar retiradas al momento. Eso las convierte en un objetivo mucho más atractivo que atacar el blockchain directamente: en vez de romper la criptografía de miles de usuarios individuales, un atacante que compromete los sistemas internos del exchange (credenciales de empleados, servidores mal protegidos, errores de software) puede acceder de golpe a las claves privadas que el exchange custodia para todos.
Eso es un hackeo de exchange: un robo de las claves centralizadas que una empresa guarda por sus usuarios. No requiere alterar ni una sola línea del libro de contabilidad compartido del blockchain, y las transacciones fraudulentas que salen de esas wallets se validan y quedan registradas exactamente igual que cualquier otra transacción legítima — porque, técnicamente, se firmaron con una clave privada válida.
¿Y un hackeo "de verdad" a la blockchain?
Existe, en teoría, un ataque distinto: el llamado ataque del 51%, en el que un actor consigue controlar más de la mitad de la capacidad de verificación de una red (minería o staking) y con eso podría intentar reescribir transacciones recientes. En redes grandes como Bitcoin o Ethereum esto es extraordinariamente caro — requeriría una cantidad de hardware o de capital inmovilizado tan grande que, en la práctica, nadie lo ha conseguido de forma sostenida contra las redes principales. Sí ha ocurrido en redes más pequeñas y con menos participantes verificando, que resultan mucho más baratas de dominar. Pero esto es un fenómeno completamente distinto de robar las claves que guarda un exchange, y mucho menos frecuente.
Casos conocidos, en términos generales
A lo largo de la última década ha habido varios exchanges grandes que sufrieron robos masivos de fondos, algunos de ellos ya documentados y resueltos por vía judicial con el paso de los años. El caso más citado como ejemplo educativo es el de un exchange japonés que en 2014 perdió cientos de miles de bitcoins de sus usuarios por fallos de seguridad interna — un episodio ampliamente cubierto en su momento y que sigue estudiándose como referencia de lo que puede fallar en la custodia centralizada. No es el único caso que se ha dado en el sector, y probablemente no será el último.
Qué significa esto para ti
No significa que usar un exchange sea "un error". Para comprar o vender criptomonedas con dinero normal casi siempre hace falta pasar por uno. Significa entender que, mientras tus fondos están ahí, dependen de la seguridad de esa empresa y no tienes ningún fondo de garantía equivalente al bancario si algo sale mal — el mismo punto que ya se trató en el artículo de riesgos. Hay una frase que resume bien la idea:
"Not your keys, not your coins" — si no controlas tú la clave privada, en la práctica estás confiando tus fondos a otra persona.