Esta semana, una auditoría de Claude Opus 4.8 encontró un fallo de hace cuatro años en uno de los sistemas de privacidad más confiables del mundo cripto. Aquí te explico cómo y por qué COTI se construye sobre una base diferente.
Resumen
→ Esta semana, Shielded Labs divulgó un bug crítico en el pool blindado de Zcash, descubierto con la ayuda de Claude Opus 4.8 de Anthropic.
→ Un solo elemento sub-constrido en un circuito ZK complejo pasó desapercibido durante cuatro años, y la privacidad hizo imposible probar si alguna vez fue explotado.
→ COTI se basa en una fundación diferente: Circuitos Enmascarados, computación multi-party encriptada con criptografía de clave simétrica probada en batalla, sin circuito de prueba crítico de solidez, sin configuración de confianza, y resistencia cuántica por diseño.
→ La privacidad programable de COTI es verificable por diseño. La divulgación selectiva permite probar el suministro y la integridad sin exponer los datos de nadie.
→ El suministro de Private ERC20 permanece gobernado y auditable.
Una llamada de atención para la privacidad de Web3
Esta semana, el mundo de la privacidad cripto recibió una llamada de atención.
Shielded Labs, la organización sin fines de lucro que financia el desarrollo de Zcash, divulgó un fallo crítico de solidez (soundness) en el pool protegido de Orchard de Zcash, uno de los sistemas de privacidad con conocimiento-cero más respetados en producción.
El fallo se descubrió usando un marco de auditoría a medida, combinado con Claude Opus 4.8 de Anthropic recién lanzado. El fallo había estado oculto en el circuito de prueba desde que Orchard se lanzó en mayo de 2022. Durante casi cuatro años, permaneció sin detectarse gracias a auditorías repetidas por algunos de los mejores criptógrafos del sector.
La respuesta fue rápida y coordinada. Un soft fork de emergencia deshabilitó temporalmente las transacciones de Orchard, y el hard fork corrigió el circuito. Eso merece un reconocimiento real. La divulgación responsable, un parche en días y la transparencia total son exactamente como se supone que debe funcionar la seguridad.
Construir confianza dentro del ecosistema de privacidad es crucial. Una industria de privacidad segura, confiable y resistente es clave para elevar todo el ecosistema. Dado que la privacidad en blockchain es una tecnología nueva de avance, debe reforzarse continuamente con las herramientas de IA más recientes.
Esta es la filosofía de diseño de COTI detrás de Garbled Circuits y el compromiso de asegurar siempre estándares de cifrado líderes en la industria.
Por qué esto importa más allá de Zcash
La historia es más grande que cualquier red, y se enfrenta a dos verdades difíciles que todo protocolo de privacidad tiene que afrontar.
Los circuitos complejos son extraordinariamente difíciles de dejar perfectamente bien. El fallo era un elemento poco restringido en el circuito de prueba: una verificación que debía rechazar entradas inválidas, pero contenía una brecha. Los investigadores de seguridad llevan tiempo señalando los circuitos poco restringidos como una de las clases de fallo más comunes en auditorías de conocimiento-cero, y la mayoría de los hallazgos de auditoría ZK se rastrean hasta la capa de circuitos.
La privacidad puede hacer imposible la verificación. Como Orchard es un pool protegido (shielded), Shielded Labs reconoció que no hay manera criptográfica de determinar si la falla alguna vez fue explotada. La misma propiedad que protege a los usuarios también elimina el rastro que permitiría que cualquiera pruebe que los libros están limpios. Te queda aceptarlo bajo confianza.
La auditoría de Claude Opus 4.8 encontró en aproximadamente un día lo que años de revisión experta humana no alcanzaron. A partir de ahora, cada protocolo será sondeado por la misma clase de herramientas, tanto por defensores como por atacantes, pero al mismo tiempo puede usar estas herramientas para reforzar su infraestructura.
Todos los protocolos de privacidad deben garantizar que sus estándares de cifrado y seguridad se mejoren y auditen de forma continua para asegurar el máximo nivel de seguridad.
Cómo COTI está construida de forma diferente
COTI tomó una ruta criptográfica diferente desde cero: Circuitos Encriptados (Garbled Circuits), un protocolo para computación multipartita segura (MPC), desarrollado con Soda Labs.
Los contratos inteligentes computan directamente sobre entradas cifradas, así que los datos nunca se exponen, ni a un operador, ni a la red, ni a nadie que no deba verlos. Esa elección cambia el modelo de seguridad de maneras que importan ahora mismo.
MPC sobre entradas cifradas, no circuitos ZK poco restringidos
Un sistema de conocimiento-cero demuestra una afirmación sobre datos ocultos usando un circuito complejo, y la solidez (soundness) de ese circuito es todo. Una restricción poco fundamentada, como mostró Orchard, puede permitir que pasen entradas inválidas.
COTI funciona de manera distinta. Con Garbled Circuits, los contratos calculan sobre entradas cifradas mediante computación multipartita segura, y la validez de la ejecución se comprueba en el mainnet de COTI. No hay un único circuito de prueba crítico para la solidez entre tú y la integridad de todo el pool.
Criptografía de clave simétrica
El esquema de garbling de COTI se construye sobre las primitivas más estudiadas y probadas en criptografía. Aplica una función pseudoaleatoria como AES a las etiquetas de los cables del circuito, y los textos cifrados on-chain se protegen mediante un esquema de cifrado simétrico. Son las mismas familias de primitivas que aseguran el internet moderno.
Nuevas capacidades de privacidad sobre bloques de construcción confiables y bien entendidos, en lugar de un circuito novedoso que tiene que demostrarse impecable.
No se requiere configuración confiable
Algunos sistemas de privacidad dependen de una ceremonia única de configuración confiable. Si el secreto detrás de esa ceremonia se maneja mal alguna vez, la seguridad de todo el sistema puede verse socavada. El enfoque de Garbled Circuits no requiere una ceremonia de ese tipo. Eso elimina una clase completa de riesgo antes de que se procese una sola transacción.
Resistente a cuánticos por diseño
Como la base es criptografía de clave simétrica, la resistencia a ataques cuánticos es una cuestión de longitud de clave, no de rediseño. Los mejores ataques cuánticos conocidos contra primitivas simétricas usan el algoritmo de Grover, que reduce a la mitad, aproximadamente, la seguridad efectiva; por eso, duplicar la longitud de la clave la restablece.
La actualización Helium de COTI introdujo aritmética nativa de 256 bits, de modo que los tokens confidenciales de COTI ya funcionan con los tamaños de clave que los mantienen seguros frente a los mejores ataques cuánticos conocidos. Para el desglose completo, lee el análisis técnico en profundidad de COTI sobre computación cuántica.
Y es práctico
La criptografía es sólida y es utilizable. La computación confidencial en COTI es hasta 3.000x más rápida y 250x más ligera que enfoques basados en FHE: lo bastante ligera para cualquier dispositivo, incluidos móviles, sin hardware especializado.
Y el gcEVM de COTI es totalmente compatible con EVM, así que los desarrolladores escriben contratos confidenciales en Solidity estándar, eligiendo qué permanece privado y qué se hace público dentro de un único contrato.
Verificable por diseño
Lo más difícil de esta historia no es el bug. Los bugs se parchean. Lo que no se puede es demostrar criptográficamente si el suministro alguna vez fue inflado. Ese es el tipo de trampa en la que pueden caer los sistemas de privacidad: confidencialidad que llega a costa de la verificabilidad.
La tesis de COTI siempre ha sido que la transparencia nunca fue el objetivo real. El objetivo es poder verificar información de forma independiente, algo que la criptografía moderna puede ofrecer sin exponer todo al público.
Con privacidad programable, COTI permite que las partes correctas verifiquen exactamente lo que necesitan: suministro, solvencia o cumplimiento, mediante divulgación selectiva, mientras que todos los demás solo ven texto cifrado.
Puedes verlo directamente en los ERC20 privados, el estándar de tokens con privacidad mejorada de COTI:
Cifrado por defecto. Saldos, montos de transferencia y allowances se cifran. Cada titular tiene su propia clave, y solo el titular puede descifrar su saldo. Los validadores ven texto cifrado.
Suministro privado, pero responsable. totalSupply() devuelve cero en cadena, mientras que una versión en texto cifrado registra el suministro real internamente. Sin filtraciones de la emisión hacia el mundo exterior, y sin un punto ciego tampoco.
Emisión gobernada. El control de acceso basado en roles, un rol específico de minter y una emisión consciente del cap hacen que la gobernanza del suministro sea explícita y auditable, con divulgación selectiva para el cumplimiento.
Bases probadas. El control de acceso y la protección contra reentradas heredados de OpenZeppelin, la aritmética cifrada delegada al precompile de MPC de COTI, con precisión total de 256 bits.
Esta es una privacidad que no te obliga a elegir entre confidencialidad y la capacidad de demostrar la verdad. Esa es la diferencia entre una privacidad que puedes verificar y una privacidad que tienes que aceptar a ciegas.
Auditable de extremo a extremo y apostando por la IA
La criptografía sólida aún tiene que demostrarse a nivel de código. Ninguna tecnología de privacidad está exenta de una revisión rigurosa y continua; por eso COTI trata la seguridad como algo continuo.
Sayfer, una consultora de ciberseguridad nativa de Web3 que ha asegurado miles de millones en activos en más de 100 clientes, incluyendo MetaMask, 1inch, Polkadot y StarkWare, con cero hackeos de clientes hasta la fecha, auditó el stack de privacidad de COTI punto por punto: Private ERC20, el Privacy Portal y el COTI MetaMask Snap. Cada hallazgo fue abordado y resuelto antes del lanzamiento.
“Después de una revisión por parte del equipo de Sayfer, certificamos que todos los problemas de seguridad mencionados en este informe han sido abordados por el equipo de COTI.”
Informe de auditoría de Sayfer
Sayfer está construyendo una capa de seguridad impulsada por IA para auditorías continuas y en tiempo real que va más allá del modelo de “punto en el tiempo”, y COTI es un socio a largo plazo en ese trabajo. Cuando el red-teaming avanzado con IA se vuelva estándar en toda la industria, COTI pretende utilizar siempre la tecnología más reciente
Privacidad en vivo y en producción.
El cofundador de Ethereum, Vitalik Buterin, ha señalado públicamente los Garbled Circuits como el camino hacia garantías de seguridad puramente criptográficas para la computación multipartita.
El mainnet GC de COTI se lanzó en marzo de 2025 y ha procesado 125 millones+ de transacciones on-chain. COTI está llevando de forma nativa su protocolo de privacidad impulsado por GC a Ethereum y a otros L1s y L2s líderes.
Para grandes blockchains, DeFi y dapps que necesitan privacidad fiable y probada, auditada y verificable, COTI pretende ser el líder de la industria en soluciones confiables.
Por qué COTI es único
COTI está construido para que la confianza en la privacidad no dependa de una promesa:
Computa sobre entradas cifradas mediante MPC, sin un único circuito de prueba crítico para la solidez.
Construido sobre criptografía de clave simétrica probada en batalla.
No requiere ceremonia de configuración confiable.
Resistente a cuánticos por diseño, con tamaños nativos de claves de 256 bits ya en funcionamiento.
Verificable por diseño, con divulgación selectiva y un suministro gobernado, auditable.
Auditado de extremo a extremo por Sayfer, con auditoría continua asistida por IA en camino.
En vivo en producción, totalmente compatible con EVM y lo bastante ligero para ejecutarse en cualquier dispositivo.
La confianza se gana en los cimientos
El auge de la privacidad en Web3 es bueno para todos, y los equipos que lo impulsan, incluyendo el equipo que gestionó la divulgación de esta semana con rapidez y honestidad, merecen respeto.
Pero “privacidad” no es un único protocolo o solución, y las diferencias merecen toda la historia. La respuesta de COTI es mantener la computación cifrada de extremo a extremo, basarse en criptografía que ya se ganó la confianza, hacer que la privacidad sea verificable en lugar de algo que se toma por fe y nunca dejar de reforzarla.
A medida que evoluciona el campo, COTI evoluciona con él: duplicando longitudes de clave antes de lo cuántico, adoptando los métodos de cifrado más fuertes disponibles y emparejando cada lanzamiento con revisiones continuas de seguridad asistidas por IA. La privacidad no es una función que envías una sola vez. Es un estándar que defiendes cada día.
Eso es lo que significa ser la capa de privacidad programable para Web3.
Mantente COTI.
Sobre COTI:
COTI es la capa programable de privacidad para Web3. Diseñada para empresas, creadores y agentes. Impulsada por Garbled Circuits de alto rendimiento y COTI Nightfall (ZK) a nivel empresarial, COTI permite computación cifrada en cualquier blockchain pública. Privacidad rápida, de bajo costo y compatible en DeFi, IA y más allá.
Para actualizaciones de COTI y para unirte a la conversación, asegúrate de revisar nuestros canales:
Sitio web: https://coti.io/
X: https://twitter.com/COTInetwork
YouTube: https://www.youtube.com/channel/UCl-2YzhaPnouvBtotKuM4DA
Telegram: https://t.me/COTInetwork
Discord: https://discord.gg/coti-foundation
GitHub: https://github.com/coti-io
Vibe Coders Telegram: https://t.me/+uuPNfRkKiQ03ZTcx