Vlad ha estado construyendo en NEAR desde el inicio del protocolo, trabajó junto a su cofundador Ilya y tiene una maestría en ciberseguridad. La conversación abarcó los drenajes de Coldcard, los límites de la autocustodia y cómo funciona la custodia compartida cuando tu equipo no tiene experiencia en informática.

El error conceptual detrás de todo

"He oído decir a algunas personas con menos conocimientos técnicos que creen que sus tokens viven en su dispositivo de billetera fría. Ese no es el caso".

El registro vive en la cadena de bloques. Los saldos, las transferencias, el historial completo: público y visible para cualquiera que tenga un navegador. Tu dispositivo contiene exactamente una cosa: una clave criptográfica.

Esa distinción cambia incluso el significado de la "seguridad". No es necesario forzar nada en tu dispositivo. La única pregunta que importa es si alguien más puede generar la misma clave que tú posees.

Normalmente no pueden. El número de claves posibles es lo suficientemente grande como para que adivinar la tuya tome más tiempo del que lleva existiendo el universo. Ese es todo el modelo de seguridad, y se mantiene, siempre y cuando la clave se haya generado correctamente.

Dónde falló Coldcard

El punto débil no fue el hardware, el almacenamiento fuera de línea o la configuración del usuario. Fue el algoritmo que generaba la clave inicial.

Una vez que los atacantes entendieron cómo funcionaba ese generador, el espacio de búsqueda se redujo drásticamente. En lugar de un número imposible de candidatos, tenían un grupo manejable, lo suficientemente pequeño como para trabajar con él, verificando cada intento contra la cadena para ver si coincidía con una cuenta con fondos.

Vale la pena reflexionar sobre cómo Vlad define lo sucedido: a nadie le robaron la clave. Los atacantes simplemente terminaron teniendo duplicados. Desde la perspectiva de la cadena de bloques, ambas copias son igualmente válidas. Ambas pueden firmar.

"La seguridad de cualquier sistema se define por su punto más débil".

Él conecta esto con la razón por la cual la computación cuántica preocupa a los criptógrafos. Las máquinas cuánticas tampoco vulneran las billeteras sin conexión. Solo hacen que la generación de claves duplicadas sea rápida: millones de años comprimidos en días o semanas. El mismo modelo de amenaza, diferente escala.

Entonces, ¿qué te ofrece realmente una billetera fría?

Protege la clave contra robos basados en la red. El software malicioso en tu computadora portátil no puede alcanzarla. Una extensión de navegador comprometida no puede tocarla.

Eso es real y es importante. Pero solo cubre un vector de ataque de varios. No hace nada ante un generador defectuoso dentro del dispositivo. No hace nada si alguien encuentra tu copia de seguridad escrita. Y no hace nada respecto a la mayor categoría de pérdidas en criptomonedas: que los propios usuarios pierdan el acceso.

El anfitrión, en el mundo cripto desde 2012, argumentó que las pérdidas autoinducidas probablemente han destruido más fondos que todos los hackeos combinados. Los primeros usuarios de Bitcoin en Nuevo Hampshire cuyas familias nunca pudieron recuperar las monedas. Un inversor de Dash que enterró las claves detrás de rutas de derivación exóticas y se quedó fuera de su cuenta de forma permanente.

El almacenamiento en frío maneja bien una sola amenaza. Tratarlo como la respuesta completa es el error.

El patrón entre las billeteras que resistieron

Dos cosas diferenciaron a las cuentas que salieron intactas del incidente de Coldcard.

Claves de diferentes proveedores. Si tu multifirma requiere tres firmas y las tres provienen del mismo fabricante utilizando el mismo método de generación, no has multiplicado la seguridad: has multiplicado tres veces una sola debilidad. Diferentes proveedores significan diferentes implementaciones. Una falla en uno no afecta a los demás.

Una frase de contraseña BIP-39. Una palabra adicional que solo el usuario conoce, añadida por encima de la semilla generada. Entropía proporcionada por el usuario sobre la entropía proporcionada por el proveedor. Esto salvó a mucha gente.

Sin embargo, la cautela de Vlad va en ambas direcciones. Establece tu límite en cinco de cinco, pierde una sola clave y quedarás fuera para siempre. "Siguen estando en tu cuenta, pero ya no puedes controlarla". El exceso de ingeniería en seguridad crea su propio modo de fallo.

Multifirma sin el vocabulario cripto

El punto de referencia de Vlad para los usuarios no técnicos es la autenticación de dos factores. Una contraseña más un código de un segundo lugar. Solo cuando llegan ambos se ejecuta algo.

Trezu implementa esto como una cuenta inteligente en NEAR. Rastrea las confirmaciones y se ejecuta una vez que se alcanza el límite. Bastante simple en principio, pero la arquitectura crea dos cosas que las multifirmas clásicas no pueden ofrecer.

Las claves no son iguales. Se puede permitir que una clave proponga un pago y nada más. Otra solo puede aprobar o rechazar. En la multifirma tradicional, y en las billeteras de firma de umbral MPC, la criptografía combina firmas iguales. No se pueden imponer roles en absoluto; Vlad es tajante al decir que es 100% imposible.

"Desde el punto de vista de la seguridad, no quieres darle a tu pasante la misma clave que a los aprobadores".

Los rechazos quedan registrados. Con la mayoría de las configuraciones, ves quién aprobó una transacción y nunca quién la rechazó. En una cuenta inteligente, ambos votos son visibles en la cadena, junto con qué claves estuvieron involucradas en cada paso.

Vlad dice que esta capacidad específica despertó más interés en las entrevistas con usuarios que casi cualquier otra cosa, porque los equipos reales ya tienen roles. Un gerente de operaciones prepara el pago. Un fundador lo aprueba. Las herramientas deberían coincidir con la forma en que realmente se divide el trabajo.

La pregunta que el anfitrión hizo directamente

Todo corre en NEAR. ¿No es eso un punto único de falla?

Vlad no la esquivó. No existe software libre de errores y el riesgo es real. Lo que ofreció fue un historial: NEAR ha funcionado desde 2020 con un 100% de tiempo de actividad. El contrato multifirma debajo de Trezu ha estado activo desde 2021, aseguró más de $250 millones en valoraciones máximas de tokens y hoy tiene más de $70 millones bajo administración.

Las auditorías se realizan continuamente: expertos humanos, además de cada nuevo modelo de IA que se lanza, analizan el sistema en busca de lo que las revisiones anteriores pasaron por alto. No se ha encontrado nada hasta ahora.

"El punto más débil define toda tu seguridad. Así que nunca nos arriesgamos".

Mira la entrevista completa en Digital Cash Network.