Upbit, el segundo intercambio de criptomonedas más grande de Corea del Sur, ha incluido a Zilliqa (ZIL) en su lista de activos bajo vigilancia de deslistado. La razón es un fallo de seguridad crítico en la aplicación oficial del token para monederos Ledger (carteras físicas de alta seguridad), que expuso las claves privadas de los usuarios. La noticia desplomó el precio de ZIL un 10 % hasta tocar mínimos históricos de 0,0023 dólares y deja a la criptomoneda con una capitalización de apenas 49 millones de dólares.
El desplome arrastra a ZIL a una caída semanal del 17 % y confirma el peor momento para un token que ya ha perdido el 99 % de su valor desde los máximos de mayo de 2021. Los inversores minoristas que mantenían ZIL en monederos fríos basados en Ledger han sido los más damnificados.
Qué ha fallado en la aplicación de Ledger de Zilliqa
El problema no está en la red de Zilliqa —una blockchain de capa 1 lanzada en 2019— sino en la herramienta que utilizaban los usuarios para firmar transacciones desde un hardware wallet. La aplicación de Zilliqa para Ledger, usada desde los inicios del proyecto, cometía un error en la generación del número aleatorio que protege cada firma digital. Ese fallo anulaba parte de la aleatoriedad real, y después de unas cinco transacciones nativas (envíos de ZIL) un atacante podía recuperar la clave privada en segundos con un ordenador normal.
El exploit comenzó a explotarse el pasado 19 de julio. Un día después, un socio de otro intercambio reportó robos desde una cold wallet (monedero desconectado de internet). El exchange KuCoin ayudó a rastrear el origen del ataque y el 21 de julio el fallo quedó confirmado. Zilliqa ha advertido desde entonces que toda cuenta que haya realizado aproximadamente cinco o más movimientos nativos firmados con la app de Ledger debe considerarse comprometida. Las transferencias de ZIL nativas están suspendidas desde ese momento; las claves afectadas, subraya el equipo, ya no pueden recuperarse porque las firmas filtradas permanecen para siempre grabadas en la blockchain.
Cabe aclarar que las transacciones compatibles con la máquina virtual de Ethereum (EVM) y los monederos de software no están afectados. El fallo se limita a las operaciones nativas realizadas con la aplicación de Ledger.
Una aplicación de monedero físico con un error de aleatoriedad convierte la seguridad en papel mojado después de apenas cinco movimientos.
La respuesta de Upbit y el fantasma del deslistado
Upbit ha actuado amparándose en la Ley de Protección de Usuarios de Activos Virtuales de Corea del Sur, una normativa que entró en vigor en 2024. La etiqueta de vigilancia afecta a los pares ZIL/KRW y ZIL/BTC, y los depósitos y retiros están congelados desde el 20 de julio. El intercambio mantendrá la revisión hasta la semana del 17 de agosto, fecha en la que decidirá si retira a ZIL de su plataforma definitivamente o levanta las restricciones.
No es la primera vez que una etiqueta de este tipo hunde el precio de una criptomoneda. El token de Wanchain se desplomó un 34 % tras ser colocado por Binance bajo vigilancia, y proyectos como Flow tuvieron que recurrir a los tribunales por los deslistados en casas de cambio coreanas. La reacción del mercado es comprensible: cuando un gran exchange amenaza con eliminar un par, la liquidez se evapora y los inversores aprietan el botón de venta.
Los ataques, se han vuelto más frecuentes este año, y el incidente de Zilliqa se suma a una larga lista de compromisos de claves privadas. Sin embargo, la peculiaridad de este caso es que no se trató de un descuido del usuario, sino de un error de diseño en la propia herramienta facilitada por la fundación Zilliqa.
Lecciones de seguridad y la promesa de un plan de rescate
Zilliqa ha confirmado que trabaja en un plan de recuperación para los saldos robados, aunque no ha dado detalles sobre plazos ni mecanismos. De la solvencia de ese plan dependerá en buena medida la decisión de Upbit, y por tanto el futuro a corto plazo del token. La comunidad, mientras tanto, debate sobre la responsabilidad de las fundaciones a la hora de auditar el software de firmado que recomiendan a sus usuarios.
El episodio deja una enseñanza práctica para cualquier persona que almacene criptoactivos: ni siquiera un hardware wallet de referencia como Ledger es inmune si la aplicación que firma las transacciones no está correctamente implementada. La actualización y verificación constante de las firmas digitales son ahora mismo tan importantes como guardar bien la frase semilla.
Con el precio de ZIL en zona de mínimos históricos y una capitalización que roza los 50 millones de dólares, el mercado está cotizando un escenario de salida de los grandes intercambios. La pelota, ahora, está en el tejado de Zilliqa y en cómo responda Upbit durante las tres semanas que quedan de revisión.
