#GateLaunchesPoSECProofOfSecurity

Leí la nota de lanzamiento el 5 de noviembre y mi primer pensamiento no fue «qué bien, una nueva función». Fue «¿por qué ahora?». Y la respuesta está bastante clara si has estado siguiendo este mercado durante las últimas semanas. Se produjeron ataques a billeteras calientes en otros lugares, la gente empezó a preguntar «¿está seguro mi dinero?» y la habitual prueba de reservas de pronto pareció insuficiente. Las reservas totales se ven bien sobre el papel, pero nadie estaba preguntando dónde están esas reservas.

PoSEC plantea exactamente esa pregunta.

El nombre completo es Prueba de Seguridad. El lanzamiento tuvo lugar el 5 de noviembre. La primera instantánea se tomó a las 00:00 UTC del 4 de noviembre. Mostró un índice de cobertura de almacenamiento en frío del 104.58%.

Lo explicaré en términos sencillos, porque es fácil malinterpretar el índice.

Cobertura de almacenamiento en frío = activos en almacenamiento en frío / activos totales de los usuarios.

El almacenamiento en frío significa que los activos se guardan sin conexión, lejos de sistemas conectados a Internet. Las billeteras calientes guardan activos en línea para las operaciones diarias y los retiros. Las billeteras calientes son rápidas, pero también están expuestas.

En la instantánea del 4 de noviembre:
• Almacenamiento en frío: 88.26% de los activos totales
• Billeteras calientes: 11.74% de los activos totales
• Cobertura de almacenamiento en frío: 104.58%
104.58% significa que el almacenamiento en frío por sí solo cubre más del 100% de lo que se debe a los usuarios. Aunque se vaciaran todas las billeteras calientes en una brecha de seguridad, el almacenamiento en frío por sí solo seguiría cubriendo los saldos de los usuarios, con un pequeño margen restante.

Eso es distinto del otro número que suele citarse. Al 18 de octubre, las reservas totales rondaban los $8.688 billion, con un índice de reservas general del 118.49%. Las reservas totales incluyen tanto las reservas en frío como las calientes. PoSEC excluye la parte caliente y pregunta: ¿la parte en frío por sí sola es suficiente?

Para mí, esa es la pregunta más sincera. Las billeteras calientes son la parte que recibe ataques. El almacenamiento en frío es la parte que se supone que debe resistirlos. Decir «tenemos un 118% en total» si la mayor parte está en billeteras calientes no me haría sentir a salvo. Decir «tenemos un 104% solo en frío» sí, al menos para esa instantánea.

Pero no voy a fingir que PoSEC lo resuelve todo. No es así.

No demuestra cómo se guardan las claves. No demuestra quién puede mover los activos en frío, cuántas aprobaciones se necesitan ni cómo se controla el acceso. No demuestra cuáles son los controles internos, el acceso del personal ni los riesgos de los proveedores. No demuestra que una plataforma pueda seguir funcionando durante una crisis, solo que los activos en frío pueden cubrir los saldos de los usuarios sobre el papel.

También es una instantánea, no un flujo en tiempo real. Una instantánea a las 00:00 UTC del 4 de noviembre te indica la situación en ese minuto. No te dice cómo estará al día siguiente. El valor de PoSEC dependerá de la frecuencia con que se repitan las instantáneas y de si una auditoría independiente las verifica. Las notas del lanzamiento mencionan una auditoría independiente de las cifras. Esa auditoría es lo que observaré. Un índice autodeclarado sin una auditoría reciente es una afirmación. Un índice con una verificación reciente e independiente es evidencia.

Entonces, ¿cómo interpreto el 104.58%?

Primero, superar el 100% es el umbral para aprobar. Por debajo del 100%, el almacenamiento en frío por sí solo no sería suficiente. El 104.58% lo supera, pero el margen es escaso: 4.58 puntos por encima de la cobertura total. Es un aprobado, no una fortaleza.

Segundo, la distribución importa tanto como el índice. En frío 88.26% / en caliente 11.74% significa que la mayoría de los activos están fuera de línea. Si la proporción en caliente fuera del 30% o el 40%, sería más difícil mantener ese mismo 104.58%, porque habría más activos en la capa expuesta.

Tercero, la tendencia importa más que un solo resultado. Una instantánea con un 104.58% es un comienzo. Dos, tres, cuatro instantáneas por encima del 100% mostrarían disciplina. Una instantánea por debajo del 100% mostraría tensión, aunque las reservas totales siguieran pareciendo suficientes.

No voy a juzgar esto el día del lanzamiento. Lo juzgaré por su continuidad.

¿Qué aumentaría mi confianza? Que la cobertura se mantenga por encima del 100% en varias instantáneas, que la proporción en frío siga siendo alta, que la proporción en caliente siga siendo baja y que las notas de auditoría sigan siendo recientes y específicas, no vagas.

¿Qué reduciría mi confianza? Que la cobertura baje del 100%, aunque sea una sola vez; que la proporción en caliente aumente rápidamente sin una razón clara; que dejen de publicarse instantáneas o que el lenguaje de las auditorías se vuelva vago.

PoSEC no promete que no pueda ocurrir ningún hackeo. Promete que, si atacan la capa caliente, la capa fría por sí sola podrá seguir cubriendo a los usuarios. Con un 104.58% el 4 de noviembre, esa promesa se cumplió. Las próximas instantáneas mostrarán si se sigue cumpliendo.

#WCTCS9
#ShareWeekly