Dos incidentes separados han devuelto el foco a la seguridad de las carteras cripto. Un bot de arbitraje que opera en Solana habría perdido unos 786.000 dólares y, en paralelo, una entidad sin identificar de la Unión Europea podría haber sufrido un drenaje superior a los 106 millones de dólares repartidos entre cuentas de varios exchanges. Ninguno de los dos casos apunta a un fallo del protocolo. Apuntan a las llaves.
La información procede de ZachXBT, el investigador on-chain que se dedica a seguir el rastro de fondos sustraídos y a publicar los movimientos antes de que los equipos afectados reaccionen. Un investigador on-chain, por si el término suena a jeroglífico, es alguien que reconstruye operaciones leyendo el registro público de las blockchains —por ejemplo en el explorador Solscan— y cruzando direcciones, horarios y patrones de comportamiento. Su aviso, difundido a comienzos de semana, sitúa el origen de los fondos en cuentas alojadas en Kraken, OKX y Crypto.com.
El caso de los 106 millones: retiradas en stablecoins y salto a Monero
El modus operandi del primer drenaje es el de siempre, solo que a mayor escala. El grueso de los fondos sospechosos se retiraron en USDC y USDT —las dos stablecoins de referencia, criptomonedas diseñadas para mantener la paridad con el dólar— antes de saltar por varias redes y activos. El presunto atacante convirtió los USDC en ether, se apoyó en servicios de intercambio instantáneo como WellWallet y Kyrrex y acabó pasando el dinero a Monero (XMR) a través de Wagyu.
Conviene detenerse en ese último paso. Monero es una criptomoneda construida alrededor de la privacidad: oculta emisor, receptor e importe de cada transacción, algo que bitcoin y la mayoría de los tokens no hacen. Para quien quiere desaparecer, es el destino natural. El rastro se enfría ahí. Los intercambios instantáneos funcionan, a su vez, como casas de cambio exprés sin registro de cuenta: se entrega un activo y se recibe otro en minutos, con controles de identidad más laxos que los de una plataforma regulada.
El bot de arbitraje: 786.000 dólares en una cartera caliente
El segundo caso es menor en cifras y más doméstico en la técnica. Una wallet vinculada a un bot de arbitraje de Solana habría perdido 786.000 dólares. Un bot de arbitraje es un programa que compra y vende en milisegundos para capturar diferencias de precio entre pools de liquidez, y para operar necesita saldo disponible en todo momento. Ese saldo vive en una cartera caliente: una dirección cuyas claves privadas están en un servidor conectado a internet.
Ahí está el problema. La velocidad que hace rentable al bot es la misma que deja la puerta abierta: quien obtiene la clave privada no necesita engañar a nadie, solo mover el saldo. En Solana, con confirmación por debajo del segundo y comisiones de céntimos, esa operación se completa antes de que el operador mire el panel de control. El dinero puede repartirse por decenas de direcciones en un puñado de segundos.
Un drenaje no necesita romper la red: le basta con encontrar una llave que alguien dejó donde no debía.
Los drenajes no rompen Solana: rompen la custodia
Merece la pena poner las cosas en su sitio. Solana arrastra fama de red frágil por las paradas de 2021 y 2022, cuando la saturación de bots llegó a dejar la producción de bloques en pausa durante horas: la más sonada, en septiembre de 2021, tuvo detrás el aluvión de transacciones automatizadas que acompañó el lanzamiento de un token. Aquel episodio sí fue un problema de protocolo. Los drenajes de esta semana no lo son. Son un problema de custodia, el eslabón donde se guardan las claves.
El ecosistema lleva dos años lidiando con kits de drenaje que se venden por Telegram y con firmas maliciosas capaces de vaciar una cartera con un clic. La respuesta sensata pasa por multifirma, hardware y separación de funciones entre quien firma y quien aprueba, no por cambiar de blockchain. Para una entidad europea, además, la obligación regulatoria ya existe: desde 2025, DORA exige a las entidades financieras de la UE gobernar el riesgo de sus proveedores tecnológicos, y MiCA impone controles reforzados sobre las cuentas donde se mueven estos volúmenes.
Para el inversor de a pie la lectura práctica es sencilla. Revisar qué aplicaciones tienen permiso para mover tus tokens, separar el saldo de largo plazo de la cartera de uso diario y no firmar transacciones que lleguen por mensaje directo cubre buena parte del riesgo. Ninguna de esas medidas depende del precio de SOL ni de la hoja de ruta de la red.
Queda un detalle que nadie ha cerrado. Las cifras de 106 millones y 786.000 dólares son estimaciones de un investigador independiente, no una confirmación de las plataformas afectadas ni de las autoridades. El siguiente hito será comprobar si los exchanges congelan parte de los fondos antes de que terminen en Monero, algo cada vez más difícil cuando la ruta pasa por intercambios instantáneos. La parte de la historia que decide el impacto real todavía está por escribirse.
