María y Javi (Criptodivers) · 2.ª parte: vaciaron una preventa antes que los ladrones y devolvieron el dinero — y la auditoría no cubría el contrato del agujero

Segunda parte del programa del lunes 11 de septiembre de 2023, al volver de la pausa. Empieza con la despedida de Jacobo Gómez Brioso, de Bitget, y sigue con María y Javi, fundadores de Criptodivers, desarrolladores en Solidity con base en Madrid. Es, con diferencia, la media hora más técnica y más útil de todo el archivo para quien se vaya a meter en un proyecto cripto. Las opiniones son de los invitados, no del programa, y nada de esto es una recomendación de inversión. DE QUÉ SE HABLÓ PRIMERO, EL CIERRE DEL INVITADO ANTERIOR, QUE ES PROMOCIÓN Y SE DICE COMO TAL: anima a quien no sepa qué son las criptomonedas a investigar y a entender la tecnología que hay detrás, y a quien quiera operar, a hacerlo en su plataforma; y recuerda que la academia de contenido gratuito que él gestiona está dentro de ella. Es su recomendación, no la del programa. Y AHORA LO BUENO. QUIÉNES SON, Y EL NOMBRE YA CUENTA LA HISTORIA. Criptodivers es cripto más divers, buceadores, por dos razones: porque les gusta el submarinismo, y porque «muchos de los primeros trabajos que tuvimos fueron recuperar wallets, recuperar fondos de algún sitio. Y ahí teníamos que bucear». Más una tercera, que es la mejor: les gustaba «el concepto de bucear en la blockchain como ese libro registro en el que todo queda y solo tienes que encontrarlo». EL CRIPTOTEST, Y LA RESPUESTA TIENE UNA HONESTIDAD POCO FRECUENTE: hoy criptofans sin reservas, pero cuando empezaron a leer sobre esto, «si somos francos, nos deberíamos establecer en ese punto como un poquito reservados». Y la razón no era la tecnología: «no era solo lo nuevo, sino la inseguridad de que no había tanta información como ahora». El primer contacto con los exchanges y las carteras no era lo que es hoy. Y CARLOS CUENTA SU PROPIA VERSIÓN DE LO MISMO: «Yo intenté comprar bitcoin en 2015 —fijaos el precio al que estaba— y no pude. Seguramente es por mis limitaciones, pero no pude, porque era complicadísimo.» Hoy no es así, y ese es el punto. Y ELLA CUENTA EL ARREPENTIMIENTO QUE RECONOCE CUALQUIERA: se planteó, siendo estudiante, poner veinte euros en bitcoin, y no lo hizo. Lo que pensó entonces: «dije, esto lo voy a perder, y cómo lo pierda y luego valga, va a ser peor que no haberlo tenido jamás». Lo cuenta avisando ella misma de que va de memoria. DOS HISTORIAS QUE SALEN EN LA CHARLA, Y QUE AQUÍ SE PUBLICAN CON LOS DATOS BUENOS, PORQUE EN ANTENA SE CITAN DE MEMORIA Y SE VAN. La primera, el disco duro que acabó en un vertedero con una fortuna en bitcoin dentro y la clave perdida: es un caso real y célebre, aunque el país que se menciona en la conversación no es el del caso conocido. Y la segunda, la pizza: el programa la llama «la pizza más cara de la historia», y lo es, pero la cifra que se da al aire no es la que recoge la historia. Lo que ocurrió, comprobado: el 22 de mayo de 2010, Laszlo Hanyecz pagó 10.000 bitcoines por dos pizzas, y por eso cada 22 de mayo se celebra el Bitcoin Pizza Day. Dos precisiones más, que son mejores que la anécdota: quien recibió los bitcoines no fue la pizzería, sino otro usuario del foro, que encargó las pizzas y las pagó con su tarjeta; y Hanyecz ha dicho públicamente que no se arrepiente, porque entonces nadie sabía qué iba a ser de aquello. QUÉ HACEN, EN CONCRETO. Desarrollo de contratos inteligentes y de sistemas completos de aplicaciones distribuidas y web3; infraestructura, porque «cuando quieres interactuar con la blockchain ya no te vale conectarte con MetaMask: necesitas tu propio nodo» —y añaden el argumento que casi nadie da: si vas a hacer staking de ether, «lo suyo es que lo hagas con tus propios nodos, para contribuir a la descentralización»—; formación y seguridad; y rescate de fondos. Esto último, descrito tal cual: «lo típico de que has publicado la clave secreta, la frase semilla, donde no debías, y tienes un staking que te caduca en unos días: intentar ser más rápidos». Más rápidos que los malos. Y AQUÍ VIENE LA MEJOR HISTORIA DE TODO EL ARCHIVO, Y HAY QUE CONTARLA ENTERA. Unos amigos les dicen que van a entrar en un proyecto cripto. Les da por mirar el contrato inteligente y encuentran «una vulnerabilidad bastante gorda»: era el contrato para reclamar los tokens de una preventa, y en lugar de comprobar él mismo cuántos habías comprado, se lo decía la web. O sea: si no usabas su web y hablabas directamente con el contrato, «le decías lo que querías», y te lo llevabas. INTENTAN AVISAR, Y NO HAY NADIE AL OTRO LADO. Contactan con el proyecto; los moderadores no dan con los dueños. Y ENTONCES EL DETALLE QUE CONVIERTE ESTO EN UNA PELÍCULA. Cuando descompilas un contrato en el explorador de bloques por primera vez, tarda un poco, porque hay que hacer ese proceso. La segunda vez, no. Y así se dieron cuenta de que «alguien ya estaba mirando también ese contrato». Corría peligro de verdad, y sus amigos estaban dentro. LO QUE HICIERON, Y CÓMO ACABA. Al día siguiente se lanzaba el token y se ponía la liquidez en un exchange descentralizado; esos tokens eran «prácticamente el 99 % del circulante», así que la liquidez habría volado. Así que lo vaciaron ellos, en extremis, antes que nadie. Y lo que hicieron después es lo que define a alguien: «no queríamos quedarnos con ese dinero. Se lo pusimos en otra cuenta suya del proyecto», para que nadie lo tocara, y les dejaron aviso de que escribieran. Y OTRA CORRECCIÓN EN DIRECTO, ESTA VEZ AL REVÉS. Carlos dice: «eso se llama técnicamente rug pull, ¿no?». Y ellos le corrigen con precisión: «en realidad se llama así cuando lo hace el propio proyecto». Carlos: «es verdad, tiene razón». Vale la pena quedarse con la distinción, porque se usa mal todo el tiempo. SU SOSPECHA, QUE NO SEÑALA A NADIE Y DA QUE PENSAR: no creen que fuera el proyecto, «pero sí los desarrolladores que habían contratado, a lo mejor tenían algo que ver», porque «era un fallo demasiado grosero». Y lo que lo refuerza: por esas mismas fechas había otro proyecto muy parecido que no les dio tiempo a investigar, «y le hicieron todo el robo». Muchos proyectos comparten código: «lo hace el mismo programador, copia y pega, cambian nombres y se hacen un dos por uno». Y AHORA LA LECCIÓN QUE MÁS DINERO PUEDE AHORRARLE A QUIEN LA LEA, Y ES DEL MISMO CASO: EL PROYECTO TENÍA AUDITORÍA. «Ese proyecto tenía sus auditorías de Certik y todo en orden. ¿Qué es lo que había pasado? Pues que Certik había hecho lo que le habían pedido: óyeme, este contrato del token me lo auditas; el del NFT, vale… pero el de la preventa no lo mandaron a Certik.» Ahí estaba el agujero. Su lectura de por qué: la auditoría se paga por contrato, así que mandaron «lo mínimo, lo que le exigía la comunidad», se quedaron tranquilos «y a nadie se le ocurrió mirar el contrato». Conclusión, que conviene llevarse grabada: «tiene auditoría» no significa nada por sí solo. Lo que hay que preguntar es qué contratos se auditaron, y comprobar que están todos. El auditor hizo su trabajo; el agujero estaba en lo que nunca le mandaron. LA CRIPTOPEDIA: QUÉ ES SOLIDITY. Un lenguaje de programación, como Python o cualquier otro, pero específico para un propósito: escribir contratos inteligentes. Y por eso es deliberadamente sencillo y restringido, con una justificación impecable: «un contrato inteligente no quieres que tenga muchas florituras; quieres que sea lo más fácil de leer, lo más fácil de programar, y que no puedas encontrarte con sorpresas, como esa que mencionábamos». Es el lenguaje principal de todo lo que corre sobre la máquina virtual de Ethereum. POR QUÉ HAY TAN POCA GENTE EXPERTA EN ESPAÑA, Y LA RESPUESTA DE MARÍA ES VALIENTE. Señala los cursos que prometen que «no hace falta saber nada»: con eso se puede empezar, hacer cositas y entender programas de otros, «pero no dejan de ser copia y pega». Y entonces lo dice sabiendo cómo suena: «no quiero parecer arrogante, pero es una necesidad el venir de la programación tradicional, porque te da una base, un pensamiento que va más allá de las cuatro herramientas que tiene Solidity. Esa simpleza, si tienes una base muy amplia detrás, le puedes dar mucho juego; pero si solo partes de Solidity y no tienes experiencia en nada más, creo que es lo que falla.» Y JAVI EXPLICA EL POR QUÉ TÉCNICO, QUE ES LA MEJOR EXPLICACIÓN DE TODO EL ARCHIVO: LA MÁQUINA VIRTUAL DE ETHEREUM TIENE TAXÍMETRO. En cualquier otro lenguaje, si tu programa está mal optimizado, «con un ordenador más potente, esperando más, salvas los muebles». Aquí no, porque se ejecuta en un ordenador público: «la máquina virtual de Ethereum tiene un taxímetro; conforme se va ejecutando el programa, te van cobrando. Y de hecho, por mucho que pagues, llega un momento que te paran, porque si no acapararías tú la blockchain para ti solo.» Y LA CONSECUENCIA, QUE ES LA QUE DEBERÍA LEER CUALQUIERA ANTES DE ENCARGAR UN CONTRATO: «Es muy típico de alguna solución: vale, cuando hay cincuenta funciona; pero cuando hay mil ya se satura, llegas al límite de gas, y como los contratos, salvo que tú lo preveas, no son actualizables, se te ha quedado bloqueado el contrato con la pasta que tenga dentro.» Un contrato que funciona en las pruebas y se bloquea con mil usuarios, con el dinero dentro. Eso, dicen, «te lo da la experiencia». DE DÓNDE VIENEN, QUE EXPLICA LO ANTERIOR. Venían de implementar sistemas de gestión empresarial, y de hacer webs desde casi adolescentes, desde que entraron en la universidad. Entraron en blockchain por los contratos inteligentes: «cómo podíamos hacer que cosas de nuestro día a día se gestionaran a través de esos contratos. En aquel momento lo veíamos futurista, claro.» Y UN DETALLE QUE CUALQUIERA ENTIENDE: alguna vez cobraron algo en cripto, se les quedaron unos tres euros olvidados en una cuenta, y tiempo después eran cincuenta o sesenta. LA ÚLTIMA PREGUNTA, Y LA RESPUESTA ES DE GENTE QUE DISFRUTA SU OFICIO. ¿Qué proyecto les haría ilusión y nadie les ha encargado? Ninguno: «los proyectos que nos interesan los hacemos nosotros directamente; como no paramos de cacharrear, no tenemos ninguna espinita clavada». Y la observación que lo justifica: hay cosas que solo se pueden hacer ahí —«los proyectos de lending en la blockchain, regulatoriamente no se pueden hacer fuera de ella»—, así que la cadena permite «auténticos experimentos con gaseosa»: cualquiera puede escribir su contrato y cualquiera puede usarlo. Y el consejo práctico de coste: «si Ethereum te parece muy caro, te vas a cualquier L2 —Arbitrum, Optimism o Polygon— y lo haces a un precio irrisorio». EL CRIPTOENIGMA, RESUELTO Cuántos ether hay emitidos y en circulación. La respuesta del programa, con los datos de aquella semana: algo más de 120 millones de ether, con una capitalización de mercado de unos 200.000 millones de dólares. Y un detalle que se añade y que merece el matiz: es una moneda «actualmente deflacionaria» porque se quema una parte del ether que se emite; que el saldo neto sea negativo depende de cuánto se use la red, así que no es una propiedad fija, sino una consecuencia del uso. EL CRIPTOCONSEJO Y este no es un consejo, es una pregunta, que es mejor: si pudieras viajar diez años al futuro, ¿qué querrías saber relacionado con los criptoactivos? ENLACES DE LOS INVITADOS En antena dieron su usuario de Telegram, pero aquí no se reproduce: la grafía no se oye con la claridad suficiente, y un usuario mal escrito puede llevar a una cuenta que no es la suya. Tampoco he localizado una web de Criptodivers que sirva contenido, y eso es lo que no he encontrado, no una afirmación de que no exista. Si quieres avanzar en tu soberanía patrimonial, entra en https://www.cryptofinanzaslibres.com porque nadie puede quitarte lo que no saben que tienes.