DiálogoMiembros del Comité de Seguridad de Arbitrum: ¿Por qué habilitamos los «privilegios divinos» para congelar fondos de hackers norcoreanos?

Organización & Compilación：Deep Tide TechFlow

Invitado: Griff Green, miembro del Consejo de Seguridad de Arbitrum

Moderador: Zack Guzma

Fuente del podcast: Coinage

Título original: Why Arbitrum Decided To Take Back $72M North Korea Stole

Fecha de emisión: 23 de abril de 2026

Introducción editorial

En los últimos días, Ethereum y todo el espacio cripto han estado atentos al incidente en Kelp DAO (un protocolo de reembolso de liquidez) que fue hackeado y afectó a Aave (plataforma de préstamos descentralizados).

El Consejo de Seguridad de Arbitrum utilizó permisos de emergencia para congelar y recuperar aproximadamente 72 millones de dólares en activos desde direcciones sospechosamente controladas por hackers norcoreanos. Es la primera vez en la industria cripto que una capa L2 activa “el poder divino” para congelar fondos de una dirección. Antes de este episodio, la comunidad discutía constantemente, y la controversia giraba en torno a que, aunque Arbitrum hizo lo correcto, que una cadena tenga la capacidad de “transferir fondos de una dirección” genera dudas sobre sus límites de poder y su grado de descentralización.

El invitado de este episodio, Griff Green, es uno de los miembros del consejo de seguridad con autoridad para tomar esta decisión en Arbitrum. Además, Griff fue testigo del hackeo de The DAO en 2016 y uno de los impulsores del hard fork de Ethereum. En la entrevista, criticó directamente a Circle (emisora de USDC) por su “pasividad continua” en el incidente norcoreano, y comparó con la acción proactiva de Tether, argumentando que la lógica de decisión de Circle está completamente impulsada por los estados financieros.

Citas destacadas

El «imposible de alterar» en blockchain es un malentendido

• «La gente piensa que blockchain es inalterable, pero en realidad, la base de su funcionamiento es el consenso social. Si todos acuerdan actualizar el protocolo, pueden cambiar las reglas. Ethereum y Bitcoin funcionan así.»
• «Por eso ahora en la comunidad de Bitcoin hay quienes discuten sobre congelar los tokens de Satoshi. Técnicamente, es totalmente posible, porque blockchain no es absolutamente inmutable; simplemente tiene reglas.»

El verdadero cimiento de la descentralización son las acciones del mercado

• «Si a la gente no le gustan nuestras decisiones, venderán sus tokens. Si la red de Bitcoin coordinara para robar dinero, los holders también lo venderían. La verdadera base de la descentralización son las acciones del mercado, y su papel en este asunto está muy subestimado.»
• «Honestamente, nadie nos culparía por no hacer nada. No hacer nada implica casi ningún riesgo, así que necesitas un poco de voluntad para arriesgarte.»

El patrón de ataque de los hackers norcoreanos

• «Corea del Norte rara vez realiza ataques a nivel de contratos inteligentes. La mayoría de las veces, no atacan el código, sino a las personas. A través de ingeniería social, encuentran a los poseedores de claves con permisos especiales, y obtienen acceso a sus ordenadores y claves.»
• «No sé por qué mantuvieron fondos en una dirección durante dos días sin moverlos. Quizá trabajaron tres días seguidos, descansaron el domingo y llegaron tarde el lunes. Esa es nuestra ventana.»

Comparación entre Circle y Tether

• «Voy a decir algo muy claro: claramente no hay buenos en Circle. Porque siempre optan por no actuar. En cambio, Tether, que constantemente congela fondos norcoreanos, ha recuperado mucho más de 70 millones de dólares.»
• «Circle no es nativo de cripto, proviene de Goldman Sachs. Su lógica de decisión es: si esto se refleja bien en los informes, lo harán. Si congelar fondos norcoreanos les hace ganar dinero, seguro que lo harán.»

La seguridad como mayor obstáculo para la adopción en cripto

• «Con la tecnología actual, podemos crear algo más seguro que PayPal o los bancos. Tomando la infraestructura de bancos y PayPal, eliminando a los custodios, y haciendo versiones sin custodia, la tecnología ya está lista.»
• «No conozco a nadie que haya perdido dinero en su cuenta bancaria por phishing, pero sí a muchos que han perdido cripto por lo mismo.»
• «He estado construyendo para el bien público, intentando crear algo mejor que los gobiernos, pero un problema recurrente me lo impide: esta tecnología aún no permite que las personas comunes la usen de forma segura.»

Activando permisos divinos

Zack Guzman: Muchos están atentos a cómo evoluciona la situación. La controversia no ha cesado. Comencemos con la estructura del consejo de seguridad de Arbitrum. Tú eres miembro del consejo, y en tu publicación mencionaste que fue una decisión muy seria. ¿Puedes explicar cómo se desarrolló todo esto?

Griff Green: Kelp DAO fue atacado, y hay controversia sobre si la responsabilidad recae en Kelp DAO o en LayerZero (protocolo de mensajería entre cadenas), pero el impacto sí afectó a Aave. Fue un ataque a un puente entre cadenas, en el que aproximadamente 300 millones de dólares en tokens en Layer 2 fueron robados por hackers, y luego depositados en Aave en Ethereum y Arbitrum como colaterales para pedir ETH prestado.

Tras obtener ETH, los hackers norcoreanos dejaron los fondos en sus wallets durante varios días, lo que nos dio una ventana de tiempo para coordinar la ayuda. Como Arbitrum aún está en fase de desarrollo de un rollup Stage 1 (que ofrece cierta seguridad, pero aún no está completamente descentralizado), cuenta con un consejo de seguridad. Es un multisig 9-de-12 (requiere 9 firmas de 12 miembros para ejecutar acciones). Colaboramos con Seal 911 (organización de respuesta a emergencias de seguridad en cripto), y usando permisos de emergencia, transferimos fondos desde la dirección controlada por los hackers a una nueva dirección a la que no pueden acceder.

Fundamentos de blockchain

Zack Guzman: No sabía que se necesitaba un umbral de 9 de 12, y parece que muchos tampoco. Probablemente tú tampoco quieres que los hackers norcoreanos conozcan esta capacidad.

Griff Green: En realidad, esto es información completamente pública. Creo que hay malentendidos sobre la tecnología blockchain. La base de blockchain son el código abierto, los nodos en servidores y el consenso social.

Mi primer proyecto fue The DAO. En ese momento recaudamos 150 millones de dólares, y luego nos hackearon. Si quieres detalles, puedes leer “The Cryptopians” de Laura Shin, que dedica 100 páginas a ese evento. Finalmente, hicimos un hard fork en Ethereum para hacer algo muy similar a lo que hicimos en Arbitrum: sin permiso del hacker, rompimos las reglas y transferimos fondos desde su wallet.

Esto se puede hacer en Ethereum, Bitcoin y en cualquier cadena. Porque la blockchain, en esencia, funciona sobre consenso social. Ahora en Bitcoin hay quienes discuten sobre congelar los tokens de Satoshi; si todos están de acuerdo, se puede lograr.

En Arbitrum, hay una diferencia: no necesitamos convencer a todos los validadores, sino que hay dos caminos: los poseedores de ARB pueden votar para hacer lo mismo, o el consejo de seguridad, con su multisig 9-de-12, puede actuar en emergencias. Hasta ahora, el consejo solo ha tenido permisos para arreglar bugs y actualizar el protocolo, nunca para congelar fondos. Hasta donde sé, esta es la primera vez que un L2 grande congela fondos en la cadena.

Comparación entre dos incidentes

Zack Guzman: ¿Comparando el hackeo de The DAO y este incidente, qué sensaciones te quedan?

Griff Green: Mucho más sencillo esta vez. The DAO fue mi propio proyecto, y perdí 150 millones de dólares, con mucho más estrés. Esta vez, no tuve pérdidas personales, solo participé como miembro del consejo de seguridad.

Y además, la infraestructura ahora es mucho mejor, y podemos entender qué pasó mucho más rápido. Cuando hackearon The DAO, ni siquiera sabíamos quién era el hacker. Ahora, Seal 911 puede contactar con el FBI y confirmar que el atacante fue un hacker norcoreano. Gracias a las redes que construimos en estos años, tenemos inteligencia fuera del ecosistema.

Discusión de temas clave

Zack Guzman: En la toma de decisiones, no actuar significa dejar a Corea del Norte con esos fondos. Pero también hay quienes temen que esto genere un efecto de freno en DeFi. ¿Cómo fue ese debate?

Griff Green: Primero, el desafío técnico. Nos tomó mucho tiempo encontrar una solución técnica perfecta. Solo encontrarla ya es un logro, y los héroes tecnológicos que la idearon merecen reconocimiento.

Una vez confirmada la viabilidad técnica, pasamos a la discusión real: ¿puede hacerse, pero debería hacerse?

Desde mi perspectiva, el atacante casi con certeza es Corea del Norte, con 72 millones de dólares en riesgo, y DeFi enfrenta un riesgo de vida o muerte. Mi deber es mantener la Constitución de Arbitrum y hacer lo que creo correcto para ella. Nadie nos culparía por no actuar; casi no hay riesgo en no hacer nada. Pero eso requiere algo de espíritu de riesgo.

Algunos se sienten incómodos, pensando que “solo 9 personas pueden hacer esto en la cadena”. Pero te digo, lograr que 9 expertos en seguridad, con aversión al riesgo, lleguen a un acuerdo para hacer algo, después de revisar todos los problemas potenciales, es mucho más difícil de lo que parece. Incluso más que coordinar a los mineros para congelar los tokens de Satoshi.

Lo importante es que el sistema sigue siendo descentralizado. No solo en la estructura, sino también en el ánimo del mercado y en el comportamiento del precio. Si a la gente no le gusta nuestra decisión, venderá sus tokens. Esa es la verdadera base de la descentralización, y el papel del mercado en esto está muy subestimado.

Zack Guzman: El consejo de seguridad es elegido por los poseedores de tokens ARB. ¿Este incidente marcará un precedente que cambie la percepción sobre los hackeos en el ecosistema de Ethereum?

Griff Green: Hay algo que se subestima: los hackers rara vez dejan fondos en una dirección sin moverlos durante más de dos días. Justamente porque no los mueven, tenemos la ventana de acción. Antes en Arbitrum, no recuerdo ningún incidente similar. No sé por qué no transfirieron los fondos. Quizá trabajaron tres días seguidos, descansaron el domingo y llegaron tarde el lunes.

Por eso creo que la gente será más receptiva a esto. No porque la tecnología haya cambiado (que siempre puede), sino porque vieron una acción concreta. En L2Beat (proyecto de evaluación de seguridad en L2 patrocinado por la Fundación Ethereum), está claro que el consejo de seguridad tiene permisos de emergencia. Los hackers pueden mover fondos en cualquier momento y arruinar todo, pero tuvimos suerte.

Lecciones de seguridad

Zack Guzman: ¿Lecciones en seguridad?

Griff Green: Primero, mejorar el análisis de riesgos técnicos. Aave hace un buen trabajo controlando tokens de bajo valor y alta volatilidad, pero deja demasiado sueltos los tokens de staking (LST). Estos tokens tienen ETH como respaldo, con bajo riesgo económico, pero necesitan una revisión técnica más rigurosa. No solo Aave, también Morpho, Compound, Sky y otros protocolos de préstamo deben reforzar su análisis de riesgos técnicos.

Kelp DAO tiene un punto débil único (single point of failure), que es criticado. Pero el problema mayor es la seguridad operacional (opsec), porque si las claves son comprometidas, también. Corea del Norte rara vez ataca contratos inteligentes; la mayoría de las veces, atacan a las personas. A través de ingeniería social, obtienen acceso a ordenadores y claves con permisos especiales.

Las respuestas son dos: fortalecer los estándares de seguridad. Si gestionas fondos grandes, tu nivel de seguridad debe ser como el de un CEO de una gran empresa tecnológica. Pero la industria cripto aún no alcanza ese nivel.

¿Qué hacer con los 72 millones de dólares?

Zack Guzman: ¿Y qué pasa con los 72 millones de dólares recuperados? ¿También lo deciden ustedes por votación?

Griff Green: Exacto, será muy interesante. La situación de los usuarios de Aave y Kelp DAO mejorará, pero la solución concreta es difícil. La coordinación interna en un DAO ya es compleja, como con gobiernos y grandes organizaciones, especialmente sin un decisor final claro.

Antes, Aave y Kelp DAO se culpaban mutuamente. Ahora, con Arbitrum, son tres DAOs que deben colaborar. Lo positivo es que ahora hay fondos reales en juego, y no pueden seguir echándose la culpa unos a otros. Tienen que definir públicamente un plan. La forma en que se devolverá ese dinero a los usuarios será decidida por los poseedores de tokens de Arbitrum DAO en una votación.

Mi postura personal es que, salvo que se devuelva el 100% directamente a los usuarios, Arbitrum DAO no debería liberar esos fondos.

Es importante aclarar que el consejo de seguridad solo actúa en emergencias. Hemos enviado los fondos a la dirección 0x0000DAO, cuyo sufijo “DAO” fue elegido intencionadamente, y significa que ahora ese dinero pertenece a la comunidad DAO. También soy delegado de Arbitrum DAO. Pero el total de votos puede llegar a 200 millones, y yo solo tengo unos 10 millones, aproximadamente el 5%. Hay muchas personas con mayor peso que yo.

Proyectos en marcha

Zack Guzman: Cuéntanos sobre los proyectos en los que estás trabajando ahora, relacionados con la seguridad.

Griff Green: Desde el incidente en el DAO, he estado construyendo en este espacio. Un proyecto que lidero se llama Giveth, una plataforma de donaciones descentralizadas que ayuda a muchas ONG a recaudar fondos en Ethereum. He visto cómo estas organizaciones pierden dinero de todas las formas imaginables: enviando fondos a la dirección correcta pero en la cadena equivocada, siendo víctimas de phishing, vulnerabilidades en contratos inteligentes, hackeos en exchanges, etc.

Con la tecnología actual, podemos crear algo más seguro que PayPal o los bancos. La tecnología ya está lista. Pero, en realidad, no conozco a nadie que haya perdido dinero en su cuenta bancaria por phishing, pero sí a muchos que han perdido cripto por lo mismo.

Por eso, creamos el DAO Security Fund. El objetivo es que Ethereum sea más seguro que los bancos. Tenemos aproximadamente 170 millones de dólares en activos en staking, y usamos los rendimientos del staking como fuente de fondos a largo plazo para seguridad.

El primer gran fondo de subvenciones comienza mañana. En qf.giveth.io, puedes donar a proyectos de seguridad. Según tu donación, un fondo de 1 millón de dólares se distribuirá proporcionalmente entre los proyectos de seguridad.

Pero más allá del dinero, lo importante es el descubrimiento de proyectos. Hay cientos de herramientas de seguridad de código abierto y gratuitas, pero muchos no saben que existen. La meta principal de esta ronda es reunir estos proyectos en un solo lugar, para que la gente los conozca. El dinero ayuda a que sobrevivan, pero lo que realmente marca la diferencia son las señales del mercado: qué proyectos son más necesarios, en qué áreas invertir más.

Comparación entre Circle y Tether

Zack Guzman: Cuando no hay un consejo de seguridad, los emisores de stablecoins centralizadas (como Circle) se ven obligados a enfrentar el problema de congelar o no fondos. ¿Qué opinas de estos dos modelos?

Griff Green: Si tienes la capacidad de resolver ese problema, tienes la responsabilidad de hacerlo. Como dice un viejo dicho, todo lo que necesita el mal para triunfar es que los buenos no hagan nada.

Voy a decir algo muy claro: en Circle claramente no hay buenos. Siempre optan por no actuar. En cambio, Tether, que congela fondos norcoreanos constantemente, ha recuperado mucho más de 70 millones de dólares.

Quizá pienses que debería ser al revés, pero creo que la razón es que el equipo fundador de Tether es nativo de DeFi y cripto, y mantiene algunos valores tradicionales del cripto. Circle proviene de Goldman Sachs, y su lógica de decisión es: si esto se ve bien en los informes, lo harán. Si congelar fondos norcoreanos les genera ganancias, seguro que lo harán.

No soy extremista de Tether, prefiero una visión descentralizadora. Pero en este asunto, la actuación de Circle es desconcertante. No sé si tenemos que vender colectivamente USDC para darles una señal de mercado suficiente. Los ataques norcoreanos no solo afectan nuestras inversiones, también amenazan la seguridad del mundo real. Todos sufrimos por no detener a Corea del Norte.

Zack Guzman: El carácter político del mundo blockchain es mucho más complejo de lo que muchos creen.

Griff Green: Exacto. Creen que es solo financiero y técnico, pero hay debates políticos profundos. Sobre autorregulación, cómo construir sociedad en nuevos marcos, y esas discusiones son muy profundas. Pero cada vez que intento llevar esas ideas a la realidad, termino enfrentando problemas de seguridad.

Los ataques norcoreanos a grandes protocolos son solo una dimensión. También hay problemas de menor escala, como llamadas de scam fingiendo ser Coinbase, mejoras en la experiencia del usuario, etc. Muchas de estas cuestiones no son ataques estatales, sino que aún no dominamos bien la tecnología.

Entré en cripto en 2013, y en 2016 obtuve mi primer máster en el campo de las monedas digitales. Siempre he trabajado por el bien público, intentando crear algo mejor que los gobiernos, pero un problema recurrente me lo impide: esta tecnología todavía no permite que las personas comunes la usen de forma segura. Sin embargo, hay una gran oportunidad para cambiar eso.