Dieciséis desarrolladores necesitaron menos de treinta horas para rastrear el código de Bitcoin y detectar casi cinco mil fallos de seguridad potenciales. De ellos, ochenta y cinco fueron marcados como críticos: errores que, en teoría, permitirían vaciar una billetera sin que su dueño cometiera ningún error.
El detonante fue el fiasco de las carteras Coldcard Mk3. A finales de julio se supo que el firmware arrastraba desde 2021 un fallo en el generador de números aleatorios: en vez de tomar la entropía de la fuente de hardware, el dispositivo a veces recurría a un generador de software predecible. Los atacantes que lograron mapear ese espacio de claves debilitado retiraron más de 100 millones de dólares de las billeteras afectadas, sin necesidad de tocar físicamente el dispositivo.
Eso empujó a un grupo de voluntarios llamado Bitcoin Red Team a actuar. Liderado por un desarrollador de Cashu conocido como Calle y por Rob Hamilton, director ejecutivo de AnchorWatch, el equipo se saltó la revisión manual línea por línea y apuntó modelos de IA hacia 390 repositorios de código abierto: billeteras, librerías criptográficas, infraestructura. El ritmo: unos 180 hallazgos por hora, aproximadamente un fallo crítico por persona cada hora. Solo el cómputo, según el equipo, llegó a costar 10.000 dólares al día.
La velocidad tuvo su precio. Hasta la publicación de estos datos, solo el 21,4% de los hallazgos había sido reproducido y confirmado. Eso no significa que el resto sea falso —muchos simplemente no han llegado todavía al mantenedor correcto— pero tampoco que las 4.962 entradas sean agujeros reales. Calle lo dijo sin rodeos: "la situación es extremadamente mala", y pidió disculpas a los desarrolladores por la avalancha de reportes. El equipo intentó avisar primero en privado sobre los fallos críticos, pero el volumen dejó a varios responsables de proyectos desbordados.
Es una prueba práctica de que las herramientas de IA detectan errores que los auditores humanos pasaron por alto durante años: el fallo de Coldcard estuvo oculto cinco. Pero esa misma velocidad desplazó el cuello de botella: ya no es difícil encontrar vulnerabilidades, sino que los mantenedores den abasto para verificarlas.
