Cierre de Boltz por ataques con IA reaviva el debate sobre la custodia cripto

El cierre de Boltz, el servicio de intercambios de Bitcoin y Lightning que operaba sin custodia, dejó al descubierto un riesgo incómodo para el sector: los ataques con IA pueden empujar a los usuarios de vuelta hacia los grandes custodios. En una publicación del 3 de agosto, el equipo explicó que un sondeo automatizado y asistido por inteligencia artificial derivó en varios intentos de explotación antes de que la ofensiva se intensificara con rapidez.

Lo llamativo es que el diseño de Boltz cumplió su promesa técnica. Su arquitectura no custodial mantuvo intactos los fondos de todos los usuarios durante meses de asedio, sin que se reportaran pérdidas directas. Aun así, el proyecto decidió apagar sus servidores porque el equipo ya no podía sostener el ritmo de defensa que exigía el ataque.

Ataques con IA que superan al defensor humano

El caso Boltz ilustra un cambio en la naturaleza de las amenazas. Ya no se trata solo de un exploit puntual, sino de una máquina que prueba vulnerabilidades de forma continua, a una velocidad que un equipo pequeño no puede igualar. El código puede ser sólido y aun así el proyecto vuelve inviable, no por una brecha, sino por el costo humano de repeler oleadas incesantes.

Publicidad

Ese patrón encaja con lo que viene observando la industria de seguridad. La firma de auditoría CertiK reportó más de 444 millones de dólares robados en 33 incidentes en la primera mitad del período analizado, una cifra que refleja la presión constante sobre protocolos y servicios de intercambio.

La IA también está del lado defensivo. Recientemente, un modelo de inteligencia artificial detectó en ocho minutos una vulnerabilidad de Bitcoin valorada en 100 millones de dólares, un ejemplo de cómo estas herramientas aceleran tanto el ataque como la respuesta. El problema es que un atacante automatizado nunca se cansa, mientras que el equipo defensor sí.

La paradoja de la custodia cripto

Aquí aparece la tensión de fondo. El movimiento cripto nació con la premisa de que cada usuario podía ser su propio banco, sin depender de terceros que guarden sus fondos. Los servicios no custodiales como Boltz representaban ese ideal: nadie más que el usuario controla las llaves. Pero sostener esa infraestructura frente a un adversario incansable exige recursos que pocos equipos pequeños tienen.

Cuando un proyecto como Boltz baja la persiana, la demanda no desaparece: se redirige. Los usuarios que necesitan intercambiar Bitcoin y Lightning terminan recurriendo a plataformas grandes y centralizadas, que sí pueden costear equipos de seguridad, monitoreo permanente y respuesta ante incidentes. La consecuencia es una concentración mayor de fondos en manos de custodios enormes, justo lo contrario de la descentralización que el sector persigue.

Esa concentración trae sus propios riesgos. Un custodio grande es un blanco más apetecible y su caída afecta a millones de usuarios a la vez. La historia del sector está llena de recordatorios: desde exchanges colapsados hasta robos masivos. El propio contexto reciente incluye episodios como el robo a usuarios de Coldcard que superó los 100 millones en Bitcoin, según estimaciones de Galaxy.

Qué significa para el futuro de los servicios sin custodia

El desenlace de Boltz plantea una pregunta que trasciende a un solo proyecto. Si mantener un servicio no custodial se vuelve tan caro en términos de defensa continua, ¿pueden sobrevivir estos modelos frente a los ataques con IA? La respuesta determinará qué tan realista es la promesa de autocustodia para el usuario promedio.

Existen caminos para mitigar el problema. Las herramientas de seguridad automatizadas de código abierto, los sistemas que filtran el ruido de los sondeos maliciosos y la colaboración entre proyectos para compartir inteligencia sobre amenazas podrían equilibrar la balanza. Organizaciones como OpenSSF trabajan en herramientas para clasificar y validar incidentes, mientras las agencias de ciberseguridad promueven priorizar parches de forma más inteligente.

Boltz dejó abierta la puerta a una eventual reactivación, pero sin fecha concreta. Su suspensión de swaps sin plazo de reactivación funciona como advertencia para el resto del ecosistema Bitcoin: la seguridad de un protocolo no se mide solo por la solidez de su código, sino por la capacidad sostenida de defenderlo.

El episodio deja una lección incómoda. La descentralización real no depende únicamente de la ingeniería, sino de que los proyectos pequeños puedan resistir económicamente una guerra de desgaste automatizada. Mientras esa asimetría persista, los grandes custodios seguirán ganando terreno por defecto, aunque nadie lo haya decidido explícitamente.