El ecosistema de Bitcoin atraviesa una de las campañas de auditoría de seguridad más intensas y aceleradas de su historia, tras el incidente d el hackeo a las direcciones de Bitcoin creadas con las billeteras de hardware Coldcard.
En virtud de ello, durante una maratónica jornada de 108 horas continuas, una brigada voluntaria compuesta por 25 desarrolladores y especialistas en ciberseguridad, agrupados bajo la iniciativa Bitcoin Red Team, escaneó más de 500 proyectos de código abierto esenciales para la infraestructura de la principal criptomoneda del mercado.
El resultado preliminar de este análisis es realmente preocupante luego de la identificación de 7.958 hallazgos técnicos, de los cuales 1.288 han sido clasificados formalmente con un nivel de severidad alto o crítico.
El esfuerzo masivo, impulsado por el uso intensivo de inteligencia artificial y liderado por Rob Hamilton, CEO de la firma de seguridad AnchorWatch, y el reconocido desarrollador @callebtc, no cobró impulso por azar.
La iniciativa se aceleró tras el devastador incidente de seguridad de las billeteras de hardware Coldcard, que derivó en la sustracción de más de 130 millones de dólares en Bitcoin y encendió las alarmas operativas en todo el sector.
Sin embargo, lo que comenzó como un esfuerzo de contención para blindar el software libre de Bitcoin ha terminado desencadenando un complejo dilema geopolítico, al evidenciar las severas limitaciones de acceso que enfrentan las firmas de ciberdefensa ética frente a los grandes proveedores estadounidenses de inteligencia artificial.
A diferencia de los vectores de ataque tradicionales, la integración de modelos de lenguaje avanzados para el análisis estático y dinámico de código ha permitido a los auditores identificar fallas a un ritmo industrializado.
De acuerdo con el reporte oficial del equipo, un 24,7 % de los hallazgos ya cuentan con pruebas de concepto (Proof of Concept) dinámicamente reproducibles, lo que confirma que un número significativo de estos vectores representa fallas de seguridad explotables en entornos reales de producción.
Thanks to the Bitcoin Red Team (follow @Rob1Ham @craigraw @callebtc @evankaloudis) for the responsible security disclosure and for providing details to address the vulnerability.
To stay safe, make sure that even after the update, you:
– Completely refresh macaroons and…— BTCPay Server (@BtcpayServer) August 7, 2026
La magnitud del hallazgo ya se ha cobrado sus primeras repercusiones operativas, ya que la organización de financiamiento para proyectos open-source OpenSats emitió un comunicado urgente tras detectarse una falla crítica que involucraba a BTCPay Server y nodos LND (Lightning Network Daemon).
La vulnerabilidad ponía en riesgo directo los fondos canalizados a través de canales de pago de la red Lightning, por lo que ante el riesgo inminente, OpenSats se vio obligada a deshabilitar de forma preventiva las donaciones mediante la segunda capa de Bitcoin para proteger su infraestructura, manteniendo únicamente los canales on-chain y fiduciarios.
La interacción capturada entre los auditores y desarrolladores clave de proyectos afectados, como Nicolas “Kukks” Bertolo de BTCPay Server, reflejó la inmensa presión que enfrenta la comunidad de mantenedores, porque la velocidad a la que la IA detecta fallas supera ampliamente la capacidad humana para revisar, validar, parchear y desplegar actualizaciones de software de forma segura.
El aspecto más revelador y controvertido de esta campaña no radica únicamente en las métricas de código auditado, sino en la infraestructura tecnológica utilizada para lograrlo, ya que mientras el equipo intentaba profundizar el análisis de repositorios críticos integrando las herramientas avanzadas de la división de Confianza y Ciberseguridad de OpenAI, el acceso de Hamilton fue revocado de manera abrupta a las pocas horas de haber iniciado el procesamiento masivo.
A pesar de haber completado previamente los procesos formales de verificación de identidad (KYC) y de contar con una trayectoria de divulgación responsable de vulnerabilidades, los sistemas de moderación automatizada de la empresa estadounidense clasificaron la actividad del investigador como potencialmente riesgosa.
Yesterday I began fully integrating the @OpenAI trust cyber program into my Bitcoin Red Team efforts.
This morning I woke up to see this.
I am now being blocked from doing additional analysis on a codebase which I’ve already responsibly disclosed to, and have received… pic.twitter.com/Ain5RbOBDN
— Rob Hamilton (@Rob1Ham) August 9, 2026
Así lo manifestó el propio Hamilton en un mensaje en su cuenta de la red social X: “Ayer comencé a integrar completamente el programa de ciberseguridad de confianza de @OpenAI en mis esfuerzos del Equipo Rojo de Bitcoin. Esta mañana me desperté para ver esto. Ahora estoy siendo bloqueado para realizar análisis adicionales en un código base al que ya he divulgado de manera responsable, y he recibido confirmación de que tenía hallazgos legítimos”.
“Para ser claro, esto es después de haber completado ya el KYC y el proceso de incorporación hace meses para usar las capacidades cibernéticas que OpenAI tiene para ofrecer. Ahora estoy impedido de poder continuar la investigación en un esfuerzo adicional para asegurarme de que sus cambios de código sean suficientes, así como para entender si hay otros problemas que aún no han sido descubiertos”.
La rigidez de las políticas corporativas de las Big Tech de Estados Unidos impuso un freno operativo a los investigadores éticos (white hats), en un escenario donde los ciberdelincuentes (black hats) operan sin someterse a filtros ni restricciones de servicio.
Ante la imposibilidad de detener la auditoría en medio de una crisis de seguridad activa, el Bitcoin Red Team ejecutó un giro pragmático hacia el ecosistema de inteligencia artificial de código abierto desarrollado en China.
Our AI spend remains consistently high.
Our cumulative spend has passed $58K as we add more inference sources. Notably, we’ve started using cyber models from OpenAI and Anthropic.
These models are producing incredible results, but the vast majority of our spend (74%) still goes… pic.twitter.com/DGPn2aElxC
— calle (@callebtc) August 8, 2026
Según los reportes financieros presentados por la iniciativa, el gasto acumulado en capacidad de cómputo para inferencia superó los 58.000 dólares, de los cuales sorprendentemente, casi el 75% del presupuesto operativo ha sido destinado al modelo Kimi K3, desarrollado por la firma china Moonshot AI.
A este flujo de trabajo se ha sumado un uso creciente de la familia de modelos Qwen 3.8, de Alibaba, cuya flexibilidad de despliegue y menor tasa de falsos positivos en moderación ha permitido a los programadores continuar la auditoría sin el riesgo de suspensiones arbitrarias.
“Me duele muchísimo, como estadounidense patriota, tener que hacer esto”, declaró Hamilton a través de sus canales oficiales, “pero volveré a utilizar modelos chinos de código abierto para llevar a cabo mi investigación y proteger la infraestructura de Bitcoin”.
El caso de ocurrido a los investigadores del Bitcoin Red Team expone una paradoja regulatoria y estratégica en el desarrollo de la inteligencia artificial aplicada a la ciberseguridad, la cual es en muchos casos, una debilidad sistemática de los modelos de IA estadounidenses por políticas de control emanadas directamente desde la Casa Blanca.
Y es que, el problema es que mientras que los ejecutivos del sector de los activos digitales continúan denunciando las trabas para acceder a los modelos propietarios de última generación en Occidente, el código abierto desarrollado en Asia está llenando el vacío operativo para la protección de infraestructuras críticas descentralizadas.
La campaña de auditoría ha logrado notificar hasta la fecha el 29,4% de sus hallazgos a los desarrolladores principales de los repositorios afectados. No obstante, tanto OpenSats como los auditores independientes anticipan que en los próximos días continuarán emergiendo alertas de seguridad a medida que los modelos de IA procesen las capas más profundas del código periférico de la red.
La lección que deja este episodio para la industria financiera y tecnológica es evidente, ya que en la era de la inteligencia artificial, la seguridad de una red descentralada de billones de dólares no solo depende de la solidez de sus algoritmos criptográficos, sino de la agilidad de los flujos de trabajo de sus defensores.
Si las políticas de las empresas de IA propietarias continúan marginando a la investigación ética, la comunidad de código abierto continuará buscando herramientas donde la eficiencia técnica se imponga sobre las barreras geopolíticas.