Presuntos hackers norcoreanos vaciaron 387,5 millones de dólares del exchange de criptomonedas Bitget la semana pasada, y los investigadores actuaron rápidamente para marcar y rastrear las direcciones receptoras. La CEO de Bitget, Gracy Chen, emitió entonces una exigencia controvertida: que la plataforma descentralizada de swaps cross-chain THORChain "se negara a atender estas direcciones".

THORChain respondió con firmeza, declarando: "THORChain es descentralizado y permissionless como Bitcoin, Ethereum y BNB Chain. ¿Qué responsabilidad deberían asumir Bitcoin, Ethereum y BNB Chain al manejar fondos robados conocidos?" Este enfrentamiento ha agudizado una pregunta con implicaciones que van mucho más allá de un solo hackeo: cuánto control puede ejercer un protocolo descentralizado antes de perder el amparo legal que brinda la verdadera descentralización.

La negación generó críticas inmediatas, particularmente porque el protocolo se había detenido sin vacilación en mayo, cuando 10,7 millones de dólares de sus propios fondos fueron objeto de un exploit. Complicando aún más las cosas, THORChain ha retirado su admin key y afirma que no tiene una forma sencilla de censurar direcciones, incluso si quisiera.

La controversia no carece de precedentes. THORChain ya había sido utilizado para intercambiar aproximadamente 1.200 millones de dólares de los fondos robados en el hackeo de 1.460 millones de dólares al exchange Bybit, un episodio que, casualmente, ocurrió apenas 11 días después de que el protocolo retirara su admin key. Y dado que THORChain es un lugar de intercambio y no un mixer, los fondos que pasan por él permanecen rastreables on-chain incluso después de salir por el otro lado.

NEAR Intents tomó el enfoque opuesto. Su programa automatizado SHIELD bloqueó que direcciones vinculadas al hackeo intercambiaran 50 millones de dólares en la plataforma, e incluso rechazó la recompensa del 5% que Bitget ofrecía por hacerlo. Ahora NEAR Intents recibe críticas de los maximalistas de la descentralización por no ser lo suficientemente permissionless.

Para analizar las cuestiones legales en juego, Magazine habló con Yuriy Brisov, de D&A Partners. A continuación, una versión editada de la conversación.

Magazine: Bitget pidió a THORChain que bloqueara los fondos vinculados al hackeo, y el protocolo respondió que es descentralizado y permissionless. ¿Es esa una defensa legal? ¿Tiene la obligación de bloquear esas direcciones?

Brisov: Depende del nivel de descentralización. Cuando bloquean direcciones, demuestran que sus nodos no son verdaderamente descentralizados. Eso es bueno para la comunidad cuando el poder se usa para prevenir actividades maliciosas, pero al mismo tiempo expone al proyecto a cualquier otro reclamo legal. Su única protección es "somos descentralizados".

En el caso de Unwap, dijeron: "somos verdaderamente descentralizados y no hay nada que podamos hacer". [Inversores demandaron a Uniswap tras comprar 38 tokens rugpull y estafas, pero un juez desestimó el caso en marzo —Nota del editor.] Esa es la defensa más fuerte disponible para cualquier protocolo DeFi. Si un proyecto demuestra que puede bloquear, controlar o interferir de otro modo, incluso en un intento de buena fe de prevenir fraude, se expone al argumento de que su control no debería limitarse a casos de fraude evidentes. Los demandantes pueden insistir en que el proyecto también debe ocuparse de temas de debida diligencia, aplicar KYC y adoptar medidas de protección AML.

Relacionado: Uniswap gana una demanda colectiva que lo acusaba de asistir 'rug pulls' de cripto

Magazine: NEAR Intents bloqueó esas direcciones, y Bitget agradeció a la plataforma por hacerlo. ¿Significa eso que NEAR ha demostrado que Intents no está descentralizado y que, por lo tanto, deberá interferir en muchas otras situaciones?

Brisov: Si demuestras que tienes control sobre los activos, potencialmente te expones a todo tipo de reclamos: esquemas de pump-and-dump, volatilidad, o cualquier otro agravio de inversores que de algún modo hayan sido perjudicados o dañados. Ahora pueden decir que tienes control. ¿Por qué lo usaste en un caso y no en otro? ¿Por qué no verificas a todos los emisores de tokens en tu plataforma? ¿Por qué no proporcionan formularios KYC como cualquier exchange centralizado?

Magazine: THORChain argumenta que la detención del protocolo en mayo fue inicialmente activada por un sistema automatizado y que carece de la capacidad de bloquear direcciones específicas. De ser cierto, ¿es esa una defensa?

Brisov: Podría serlo. Todavía no lo sabemos, porque no ha sido impugnada. Pero cualquier cantidad de control hace que cualquier proyecto DeFi esté en una posición más débil frente a cualquier demandante.

Magazine: Por otro lado, el protocolo podría actualizar su software si deseara bloquear ciertas direcciones. ¿Podría un proyecto meterse en problemas legales por imprudencia o negligencia si se niega a imponer medidas de ese tipo?

Brisov: Depende de cómo se haga desde el punto de vista técnico. Supongamos que un oráculo puede detectar cualquier dirección IP norcoreana y bloquearla automáticamente, sin que haya una persona sentada presionando un botón — "ahí hay un hacker norcoreano, bloqueémoslo". Entonces está bien. Pero si un equipo supervisa la situación y dice: "Vemos que esto es una actividad ilícita, bloqueemos estas direcciones", y presiona el botón manualmente, entonces desde el punto de vista legal —aunque sea un acto bueno que beneficia a la comunidad— el proyecto no está totalmente descentralizado en el sentido legal. Eso elimina la protección que brindan regulaciones como MiCA [las leyes de la UE sobre Mercados de Criptoactivos] o el entendimiento general de la SEC y la CFTC: que si estás totalmente descentralizado, no puedes ser responsable por las acciones de los participantes en tu ecosistema.

Magazine: La tecnología de NEAR se llama SHIELD. Identifica automáticamente direcciones asociadas con hackeos conocidos en blockchains públicas y las bloquea del acceso a Intents. ¿Eso hace que sea más probable que se la considere descentralizada?

Brisov: Definitivamente. Demuestran que son actores de buena fe que incorporan medidas de protección en sus protocolos. No hay un equipo de cumplimiento de personas sentadas controlando la operación manualmente. Es una solución inteligente, y es lo que recomendamos a todas las empresas DeFi.

Magazine: En febrero de 2025, THORChain retiró la admin key que habría permitido al equipo central hacer ese tipo de cambios unilaterales. Dada la ausencia de una admin key y el hecho de que opera con un centenar deadores, ¿está el protocolo suficientemente descentralizado?

Brisov: Muy probablemente sí, pero no podemos asegurarlo con certeza. Yo diría que sí.

Magazine: THORChain no es un mixer. Los fondos robados de Bitget pueden intercambiarse en la plataforma, pero cuando salen por el otro lado, siguen estando vinculados de forma transparente a los hackers de Bitget. ¿Cómo encaja eso en la definición de lavado de dinero? ¿O es recepción de bienes robados?

Brisov: No veo cómo podrían ser responsables de lavado de dinero; incluso Tornado Cash, que en cierta medida fue creado para lavar dinero, [evitó las sanciones de EE.UU. ya que los contratos inteligentes inmutables no son propiedad sancionable en términos de lavado de dinero —Nota del editor.] La ley estadounidense considera algo como propiedad o no propiedad. El lavado de dinero es mover ilegalmente propiedad a través de canales legales: generas ingresos de una actividad ilícita, que son propiedad, y luego los mueves por algunos canales e intentas legalizarlos. Pero los contratos inteligentes no son propiedad en absoluto. No los controlas. No te pertenecen. Así fue como Tornado Cash ganó su caso en los tribunales frente a las sanciones de OFAC: simplemente demostró que no tiene ningún control sobre sus contratos inteligentes.

Magazine: El hackeo de Bybit ocurrió hace 18 meses. ¿Significa eso que no se tomarán acciones legales contra THORChain, o simplemente estos casos toman mucho tiempo?

Brisov: Definitivamente podría suceder en el futuro. Después del caso Bybit, se expusieron seriamente a reclamos potenciales.

Por ahora, el argumento de descentralización del protocolo sigue sin ser probado legalmente —Brisov señaló que aún no se ha presentado ninguna impugnación a la detención automatizada— y dijo que los reclamos potenciales vinculados al episodio de Bybit aún podrían surgir, desarrollos que pondrían a prueba directamente esa defensa permissionless.

Magazine: Grandes Preguntas: ¿De verdad Satoshi posee 1,1 millones de Bitcoin?