#LanzamientosGatePoSECPruebadeSeguridad

PoSEC no pregunta «¿tienes reservas?». Hace una pregunta más difícil: «si atacan tus billeteras calientes, ¿tu almacenamiento en frío por sí solo puede seguir cubriendo lo que debes?»

Ese cambio es el objetivo. La mayoría de las comprobaciones de reservas muestran los activos totales. PoSEC comprueba dónde están esos activos y qué ocurre en el peor de los casos.

El 5 de nov. se lanzó un nuevo marco de seguridad llamado Proof of Security, PoSEC. La primera instantánea se tomó el 4 de nov. a las 00:00 UTC. Mostró un ratio de cobertura de almacenamiento en frío del 104.58%.

Lee esa cifra con atención, porque no es lo mismo que un ratio de reservas normal.

Qué mide realmente PoSEC

PoSEC introduce una métrica central: el ratio de cobertura de almacenamiento en frío.

Cobertura de almacenamiento en frío = activos en almacenamiento en frío / activos totales de los usuarios.

El almacenamiento en frío significa que los activos se guardan fuera de línea, lejos de los sistemas conectados a Internet. Las billeteras calientes son billeteras en línea que se usan para las operaciones diarias, los retiros y la liquidación rápida.

En la instantánea del 4 de nov.:
• Almacenamiento en frío: 88.26% de los activos totales
• Billeteras calientes: 11.74% de los activos totales
• Cobertura de almacenamiento en frío: 104.58%
104.58% significa que el almacenamiento en frío por sí solo cubre más del 100% de lo que se debe a los usuarios. Incluso si todas las billeteras calientes fueran vaciadas en una brecha de seguridad, el almacenamiento en frío por sí solo seguiría cubriendo los activos de los usuarios, con un pequeño margen restante.

Eso es distinto a decir «las reservas totales son del 118.49%». Al 18 de oct., las reservas totales eran de aproximadamente $8.688 mil millones, con un ratio de reservas general del 118.49%. Las reservas totales incluyen tanto las frías como las calientes. PoSEC excluye la parte caliente y pregunta: ¿la parte fría por sí sola es suficiente?

Para un usuario, esa es la pregunta más útil. Las billeteras calientes son la parte más expuesta a ataques. El almacenamiento en frío es la parte que debe resistirlos.

Qué NO mide PoSEC

PoSEC es sólido en cuanto al almacenamiento. No dice nada sobre otros riesgos. Esa limitación importa.

No demuestra cómo se gestionan las claves. No demuestra quién puede mover los activos en frío, cuántas aprobaciones se necesitan ni cómo se controlan las contraseñas y el acceso. No demuestra los controles internos, el acceso del personal ni los riesgos de los proveedores. No demuestra que una plataforma pueda seguir operando durante una crisis, solo que los activos en frío pueden cubrir los saldos de los usuarios sobre el papel.

También es una instantánea, no una transmisión en vivo. Una instantánea tomada a las 00:00 UTC del 4 de nov. te indica el estado en ese minuto. No te indica el estado a las 00:01 ni la semana siguiente. El valor de PoSEC depende de la frecuencia con la que se repitan las instantáneas y de si una auditoría independiente las verifica.

Las notas del lanzamiento mencionan una auditoría independiente de las cifras. Esa auditoría es lo que hay que observar. Un ratio autodeclarado sin una auditoría reciente es una afirmación. Un ratio con una verificación reciente e independiente es una prueba.

Cómo interpretar la cifra de 104.58%

No la interpretes como «seguridad para siempre». Léela en tres partes:
1. Más del 100% es el umbral de aprobación. Por debajo del 100%, el almacenamiento en frío por sí solo no sería suficiente. 104.58% lo supera, pero el margen es reducido: 4.58 puntos por encima de la cobertura total. Es suficiente, pero no es una fortaleza.
2. La distribución importa tanto como el ratio. Frío 88.26% / Caliente 11.74% significa que la mayoría de los activos están fuera de línea. Si la proporción de activos calientes fuera del 30% o del 40%, sería más difícil mantener el mismo 104.58%, porque habría más activos en la capa expuesta.
3. La tendencia importa más que una sola cifra. Una instantánea del 104.58% es un comienzo. Dos, tres o cuatro instantáneas por encima del 100% demostrarían disciplina. Una instantánea por debajo del 100% mostraría tensión, aunque las reservas totales siguieran pareciendo sólidas.
Mi plan para evaluar PoSEC, por etapas

No juzgo un marco de seguridad el día de su lanzamiento. Lo juzgo por su continuidad.

Primera comprobación ahora: ¿La primera instantánea es clara? Sí. Se indican la fecha, la hora, la proporción de activos en frío, la proporción de activos en caliente y el ratio de cobertura. Esa claridad es un punto a favor.

Segunda comprobación próxima instantánea: ¿La cobertura se mantiene por encima del 100%? ¿La proporción de activos en frío se mantiene cerca del 88% o por encima? Si la proporción de activos en frío disminuye mientras las reservas totales se mantienen altas, significa que más activos se están trasladando a billeteras calientes. Eso es una señal de alerta.

Tercera comprobación auditoría y periodicidad: ¿Cada instantánea cuenta con el respaldo de una auditoría independiente? ¿La periodicidad es regular o dejan de publicar después del lanzamiento? Un marco que deja de publicar después del lanzamiento es marketing. Un marco que sigue publicando es un proceso.

Qué aumentaría mi confianza:
• Que la cobertura se mantenga por encima del 100% en varias instantáneas;
• Que la proporción de activos en frío se mantenga alta y la de activos en caliente, baja;
• Que las notas de auditoría sigan siendo recientes y específicas, no vagas.
Qué reduciría mi confianza:
• Que la cobertura caiga por debajo del 100%, aunque sea una sola vez;
• Que la proporción de activos en caliente aumente rápidamente sin una razón clara;
• Que dejen de publicar instantáneas o que el lenguaje de las auditorías se vuelva vago.
PoSEC no promete que no pueda ocurrir ningún hackeo. Promete que, si atacan la capa caliente, la capa fría por sí sola aún puede cubrir a los usuarios. Con un 104.58% el 4 de nov., esa promesa se cumplió. Las próximas instantáneas mostrarán si se sigue cumpliendo.

#WCTCS9
#ShareWeekly