El reciente robo de más de u$s110 millones desde billeteras Coldcard es el golpe más grande registrado contra la autocustodia en lo que va del año y merece una lectura que vaya más allá del titular.
La primera lección es incómoda: ni el aislamiento total protege. Los dispositivos afectados nunca habían estado conectados a internet, lo cual es la condición que, se supone, vuelve inviolable a una cold wallet.
Sin embargo, una falla de firmware de 2021 debilitó tanto la aleatoriedad de las claves que un atacante pudo probar combinaciones hasta reconstruir la semilla original, sin necesidad de tocar el hardware.
Esto demostraría que la autocustodia no es sinónimo de seguridad automática, sino que es tan segura como el diseño técnico que la sostiene. Y ese diseño también puede fallar.
Los datos de la industria confirman que no fue un hecho aislado en su lógica. Según TRM Labs, los incidentes vinculados a infraestructura y gestión de claves representan apenas el 15% de los ataques cripto, pero concentran el 76% de las pérdidas totales. El alcance y no la frecuencia del daño es el dato más alarmante.
Acá surge el interrogante incómodo: cuando el usuario es su propio banco, ¿a quién reclama? En la autocustodia, la respuesta es a nadie. No hay protocolo de contingencia, seguro ni marco regulatorio que responda. Una exchange licenciada, en cambio, opera bajo supervisión de un ente regulador (en Europa, por ejemplo, bajo MiCA y el Banco de España), con obligaciones de seguridad, transparencia y responsabilidad frente al usuario que la autocustodia, por diseño, no contempla.
Otro punto que el debate suele pasar por alto: la educación financiera. Buena parte de los nuevos usuarios cripto no llegó por convicción tecnológica, sino por necesidad, como ocurre en gran parte de América Latina. De ahí que no siempre cuenta con el conocimiento técnico que la autocustodia exige: gestión de semillas, verificación de firmware, copias bien resguardadas. Esa brecha de conocimiento muchas veces profundiza la vulnerabilidad.
Nada de esto invalida la autocustodia como opción legítima para quien la entiende y la gestiona con rigor. Siempre me gusta imaginar la transición del mundo fiat al mundo cripto como la llegada desde un continente a otro.
Algunos prefieren transitar ese camino con mayor seguridad, utilizando embarcaciones sólidas y conocidas, a riesgo de resignar velocidad; otros priorizan la agilidad, eligiendo medios más rápidos y ágiles, aunque con riesgos potenciales altos. El objetivo final es que todos lleguen, a su ritmo, al mismo destino.
Por eso es clave que exista esta diversidad de opciones de custodia en el mercado, en función del perfil real del usuario y no de un ideal técnico. Lo que el caso de Coldcard viene a mostrar es que, para quien no quiere -o no puede- asumir ese riesgo en soledad, la alternativa institucional, regulada y auditada se convierte en una respuesta más responsable.
*Por Pablo Casadío, cofundador y CFO de Bit2Me.