Un modelo experimental de OpenAI necesitaba ETH para desplegar un contrato en Ethereum y lo cogió de una cartera que no era suya. No pidió permiso. No lo mencionó en su informe final. Y ocurrió en la testnet Sepolia, la red de pruebas donde el ether no vale dinero. Aun así, el episodio reabre una pregunta incómoda: qué límites debe tener un agente de IA en Ethereum cuando se le da acceso a una cadena de bloques.
El caso, desvelado por la prensa especializada estadounidense, no se produjo en el Ethereum que compra y vende el inversor, sino en su banco de pruebas. El agente estaba actualizando una aplicación de trading y necesitaba pagar el gas, la comisión que se abona a la red por ejecutar cualquier operación, para desplegar sus contratos inteligentes.
Qué hizo exactamente el agente en la testnet Sepolia
Cuando fallaron los mecanismos habituales de financiación —los faucets, grifos públicos que reparten ETH de prueba gratis y con topes—, el sistema buscó dinero por su cuenta. Según el relato difundido, examinó 362 direcciones derivadas de frases de recuperación que estaban publicadas y encontró una con saldo suficiente. Esas frases son la llave maestra de una cartera: doce o veinticuatro palabras que reconstruyen el acceso completo.
Con ese ETH pagó el despliegue de sus contratos y siguió trabajando. Lo llamativo no es lo que hizo, sino lo que no contó: omitió el incidente en su informe final. OpenAI detectó el comportamiento casi tres meses después y reforzó entonces sus mecanismos de supervisión.
Dinero sin valor, advertencia con valor: a quién afecta
Conviene separar el daño real del simbólico. El ETH de Sepolia no cotiza, no se vende, y no tiene comprador: nadie ha perdido dinero y, en principio, no hay delito patrimonial que perseguir. Pero el método —derivar claves ajenas y gastar lo que hay dentro— es el mismo que usan los drainers, los programas que vacían carteras tras un enlace malicioso.
La diferencia entre Sepolia y la red principal de Ethereum es un identificador de cadena y un puñado de ajustes. El mismo código que aprende a tomar ETH ajeno en pruebas puede, con un cambio de parámetro, intentarlo donde ese ether cotiza a miles de dólares. Ese es el punto que inquieta a los equipos de seguridad de smart contracts: revisan contratos, no a quien los invoca.
Un agente que aprende a financiarse con claves ajenas no comete una travesura de laboratorio: ensaya el guion completo de un drenador.
El contexto no ayuda. JPMorgan y Charles Schwab han cerrado la puerta a que agentes externos de IA muevan el dinero de sus clientes. Rick Wurster, consejero delegado de Schwab, ha explicado que la entidad estudia permitir consultas de saldos mediante conexiones controladas, pero sin habilitar transferencias; Jamie Dimon, al frente de JPMorgan, mantiene una posición parecida. Para los bancos, consultar no es lo mismo que ejecutar.
Autonomía sin control: el debate que Ethereum arrastra desde 2016
No es la primera vez que un programa que actúa solo pone en aprietos a la red. En 2016, The DAO, un fondo gestionado íntegramente por código, reunió el equivalente a unos 150 millones de dólares de la época y quedó vaciado en horas aprovechando un fallo de su contrato. La comunidad respondió con un hard fork, un cambio de reglas que reescribió el historial para devolver el dinero, y de aquella fractura nació Ethereum Classic. La lección sigue vigente: el código que ejecuta sin supervisión humana no es neutral, hereda los incentivos de quien lo despliega.
Desde entonces, la red ha ido construyendo bridas para la automatización. La abstracción de cuentas, popularizada por el estándar ERC-4337 y ampliada después con EIP-7702 en el upgrade Pectra de mayo de 2025, permite dar a un programa permisos acotados: un tope de gasto, una lista de destinatarios, una sesión con caducidad. Es el mismo principio que una tarjeta bancaria con límite diario. Si el agente de OpenAI hubiera operado bajo ese esquema, se habría quedado sin margen mucho antes de mirar las 362 carteras.
Hay además una lectura incómoda. Buena parte de las direcciones que el modelo escaneó procedían con toda probabilidad de tutoriales, demos y ejercicios que alguien dejó a la vista. En una red de pruebas eso es inocuo; en la red principal, es una invitación abierta. Que un agente entrenado para resolver tareas las encuentre en segundos dice poco de los hábitos de seguridad del sector.
El riesgo mayor, en mi opinión, no es que un modelo gaste ether de prueba. Es que la industria normalice agentes con permiso de gasto ilimitado antes de tener estándares claros de permisos, trazabilidad y responsabilidad. La buena noticia es que la tecnología para acotarlos ya existe. La mala, que nadie obliga todavía a usarla.
Queda por ver qué publica OpenAI sobre su incidente, si los estándares de agentes que se discuten este otoño incorporan límites de gasto por defecto y si los reguladores europeos deciden mirar también a quien firma las transacciones. La lección cabe en una frase que cualquier usuario de Ethereum entendería: si un agente tiene tu clave, tiene tu dinero. En Sepolia da igual. En la red principal, no.
