La Web3 como nuevo salvaje oeste digital: Cuando el código es la ley y el error es inmutable

Les pido que pensemos por un momento que vamos al banco, pero en lugar de un cajero hay un programa de computadora que maneja todo el dinero. Imaginemos entonces que compramos un determinado producto o servicio, pero en lugar de recibirlo, obtenemos un recibo digital único. Y ahora imagina que los ladrones, en lugar de usar pasamontañas, usan líneas de código para robar miles de millones en segundos, sin dejar rastro y sin posibilidad de devolución. Bienvenidos al mundo de la Web3, la promesa de un internet más democrático que se ha convertido, también, en el nuevo paraíso de los ciberdelincuentes.

La seguridad en la Web3 representa un cambio de paradigma radical respecto a sus predecesoras.

En la Web 1.0, la era estática de las páginas de solo lectura, la seguridad se centraba en proteger servidores básicos y evitar la defacement de sitios web.

Con la Web 2.0 y el auge de las plataformas interactivas y centralizadas como redes sociales y servicios en la nube, el foco se desplazó hacia la protección de enormes bases de datos de usuarios, luchando contra brechas de datos, phishing y el abuso de API.

Ahora, la Web3, redefine por completo el concepto. Ya no se protegen servidores o datos aislados, sino activos de valor directo —criptomonedas, tokens no fungibles (NFT), derechos de gobernanza— custodiados por contratos inteligentes autoejecutables y públicos.

La evolución ha llevado la seguridad de un plano principalmente informativo (Web1) y de privacidad (Web2), a un plano directamente económico y de soberanía individual. El riesgo ya no es que roben tu contraseña, sino que, a través de una línea de código mal escrita o una firma digital engañosa, pierdas tu patrimonio digital de forma instantánea e irreversible, en un entorno donde no existe una autoridad central a la que reclamar.

La seguridad Web3, por tanto, es intrínsecamente técnica, financiera y de comportamiento humano, exigiendo una combinación de auditorías de código rigurosas, educación del usuario y mecanismos descentralizados de defensa.

Este nuevo internet, construido sobre cadenas de bloques o blockchains, nos dio las finanzas descentralizadas (DeFi), los NFT y las organizaciones autónomas (DAO). Su gran virtud es la falta de un intermediario central, como un banco o una plataforma. Pero esa misma virtud es su mayor peligro: no hay una autoridad que devuelva nuestro dinero si algo sale mal. La seguridad aquí no depende de una sucursal con alarma, sino de la perfección de un contrato digital público que, una vez lanzado, es casi imposible de cambiar. Si tiene un error, es ley, y los hackers son expertos en encontrarlos.

En el ecosistema DeFi, donde la gente presta, intercambia o gana intereses con sus criptomonedas, los robos son espectaculares. Uno de los métodos más comunes son los préstamos flash. No es un fallo en sí, sino una herramienta que los hackers han convertido en un arma.

Permiten tomar prestadas enormes sumas de dinero sin garantía, siempre que se devuelvan en cuestión de segundos. Los criminales usan estos préstamos relámpago para manipular momentáneamente el precio de un activo en un intercambio y robar fondos de otros usuarios.

En enero de 2024, el protocolo de préstamos blockchain Radiant Capital perdió 50 millones de dólares por una vulnerabilidad técnica que fue explotada usando este método.

Meses antes, en julio de 2023, el popular mercado DeFi Curve Finance fue atacado, perdiendo más de 69 millones de dólares debido a un error en un lenguaje de programación, demostrando que hasta los proyectos más establecidos no son inmunes.

Pero no todo es código defectuoso. A veces, el ataque es más parecido a un golpe de estado corporativo digital. En 2022, un caso que conmocionó a la industria fue el de Beanstalk Farms. Un atacante utilizó un préstamo flash para tomar el control temporal de la gobernanza del proyecto. En una sola transacción, propuso y aprobó una votación que desvió 182 millones de dólares del tesoro común directamente a su billetera. Fue un robo a mano armada ejecutado con votos digitales, mostrando que las reglas de un sistema democrático automatizado también pueden ser pirateadas.

En el mundo de los NFT, el panorama es diferente pero igual de riesgoso. Aquí, el eslabón más débil no suele ser el código del contrato inteligente, sino nosotros, los usuarios. La táctica reina es el phishing, pero de un tipo muy específico.

Los estafadores crean páginas web falsas que imitan a mercados legítimos como OpenSea o ofrecen lanzamientos exclusivos de colecciones famosas. Cuando un usuario emocionado conecta su billetera digital, no está comprando un NFT. En realidad, está firmando un permiso secreto que le da al hacker control total sobre todos sus activos digitales en esa billetera.

De un momento a otro, no solo roban el NFT que querías comprar, sino todo lo que tenías dentro. El año pasado, el incidente más sonado fue el ataque a la cuenta de Twitter del influyente NFTGod, donde los estafadores promocionaron un enlace falso que llevó a sus seguidores a firmar una transacción maliciosa, drenando sus billeteras.

Las DAO, que son como clubs de inversión o cooperativas gobernadas por los propios miembros a través de votaciones digitales, combinan ambos peligros. Pueden sufrir fallas técnicas en su código de votación, pero también son blanco de lo que se conoce como rug pulls o “estafas de la alfombra”.

En estos casos, los fundadores del proyecto, después de recaudar millones de la comunidad para un fondo común, simplemente desaparecen con el dinero. Es una traición premeditada que explota la confianza y la emoción inicial de un proyecto, y ha acabado con la ilusión (y los ahorros) de miles de inversionistas.

Ante este panorama, la pregunta obligada es: ¿cómo nos protegemos? La seguridad en la Web3 es un esfuerzo compartido. Para los creadores de proyectos, la auditoría profesional del código por parte de varias empresas especializadas antes del lanzamiento no es opcional, es un requisito de supervivencia.

Para los usuarios comunes, la defensa más poderosa es la desconfianza saludable y la educación. Debemos verificar siempre las direcciones web, usar billeteras de hardware (parecidas a un USB de seguridad) para guardar grandes cantidades y aprender a identificar permisos sospechosos cuando firmamos transacciones digitales.

Además, herramientas de monitoreo en tiempo real y servicios de seguro específicos para cripto están surgiendo como los nuevos chalecos antibalas en este mundo digital.

Aunque desde nuestra realidad en Cuba, donde el acceso a internet y a las criptomonedas tiene sus propias dinámicas y limitaciones, todo esto pueda sonar a ciencia ficción o a un futuro lejano, es crucial entender que la Web3 no es una moda pasajera, sino la dirección evidente en la que avanza la economía digital global. Mientras hoy discutimos la seguridad de los bancos tradicionales o el phishing en redes sociales, el mundo está construyendo a toda velocidad un nuevo sistema financiero y de propiedad digital sobre blockchains.

Ignorarlo por parecer “futurista” sería como haber ignorado internet en los años 90. Los conceptos de propiedad digital, contratos autoejecutables y organizaciones descentralizadas llegarán, de una forma u otra, a impactar también nuestros modelos económicos y tecnológicos. Por eso, comprender sus riesgos —estos hackeos multimillonarios— no es un ejercicio de abstracción, sino una preparación necesaria.

Es aprender las reglas del juego de estas tecnologías emergentes, para que cuando ese futuro toque nuestra puerta, no nos encuentre vulnerables, sino informados y preparados para participar en él con seguridad y soberanía.

La Web3 promete un futuro de mayor control sobre nuestro dinero y nuestros datos. Pero ese futuro solo será viable si se construye sobre los cimientos de una seguridad realmente robusta. Mientras tanto, navegar por este nuevo internet requiere la precaución de un explorador en territorio desconocido: la emoción de lo nuevo va de la mano con la responsabilidad de protegerse. Porque en la frontera digital, el sheriff aún está construyendo su oficina. Por hoy nos despedimos hasta la próxima semana.