Google quiere ser la bóveda de las criptomonedas bancarias.

Google está desarrollando un producto de custodia de criptomonedas para bancos, y el miércoles lo presentó públicamente. En su primer simposio sobre activos digitales en Nueva York, Google Cloud presentó Google Multi-Party Compute (MPC), un servicio para almacenar y transferir criptomonedas y activos tokenizados sin que ninguna máquina posea una clave privada completa, según informó CoinDesk. Actualmente se encuentra en fase de prueba privada. El lanzamiento comercial está previsto para principios de 2027 y aún no se ha anunciado el precio.

La noticia se difundió en X el mismo día, y Scott Melker la publicó como una noticia de "ÚLTIMA HORA".

¿Quién lo está probando? Google no lo ha revelado. Varios socios de diseño e importantes instituciones financieras participan en la versión preliminar, pero no se han dado a conocer sus nombres. El único usuario confirmado es Alphabet, que ha comenzado a proteger sus propios activos digitales en Ethereum y Solana con este sistema. Se desconoce qué activos se están utilizando y cuánto. Rich Widmann, director de estrategia de activos digitales de Google Cloud, declaró a CoinDesk que los bancos que migran a las cadenas de bloques "necesitan una infraestructura escalable y probada para proteger los activos de sus clientes".

Un producto, no un kit de bricolaje.

MPC en sí no es nuevo. Se divide una clave privada en fragmentos, se distribuyen entre sistemas separados y ningún fallo individual compromete la seguridad de los fondos. Google incluso publicó una guía en 2023 que mostraba a los clientes cómo implementarlo en su infraestructura Confidential Space. La novedad reside en que ahora Google lo ofrece como una solución integral. La compañía declaró a CoinDesk que nunca antes había ofrecido un producto de custodia MPC específico para criptomonedas. Hasta ahora, los bancos que utilizaban Google Cloud adquirían Key Management Service y Cloud HSM, y luego debían implementar por su cuenta la firma digital, las políticas y la recuperación.

Ejemplo de CoinDesk: un banco guarda una clave compartida en Google Cloud, otra en su propio hardware y otra con un proveedor de nube de la competencia. Cuando quiere transferir fondos, la transacción entra en Confidential Space, un entorno aislado por hardware, donde un motor de políticas la verifica según las reglas del banco antes de firmarla. Estas reglas pueden limitar los importes, restringir las carteras de destino o exigir la aprobación de varios departamentos. Los umbrales son ajustables: 2 de 3 o 5 de 7. Google afirma que no puede leer el material de la clave sin cifrar, ni siquiera para las claves compartidas que se encuentran en su propia infraestructura.

En su versión general, el servicio está diseñado para admitir firmas ECDSA y Ed25519. ECDSA es el protocolo que utilizan la mayoría de las carteras de Bitcoin y Ethereum, y Ed25519 es el de Solana.

También existe documentación al respecto. Cointelegraph informó que Google actualizó la documentación del servicio el lunes, y las notas de la versión muestran cambios desde agosto. El 1 de octubre, añadió reglas de Bitcoin que abarcan montos de transacción, tipos de direcciones de destino y salidas de cambio. El producto aún se encuentra en fase de vista previa, lo que significa que se ofrece tal cual, posiblemente con soporte limitado.

Un cabo suelto. Solana Compass señaló que la documentación pública aún indica que Solana estará disponible "próximamente", mientras que Google declaró a CoinDesk que Alphabet ya ejecuta el sistema en Solana. Google no ha explicado esta discrepancia.

¿Por qué los bancos se preocupan por las llaves?

Porque las claves son el punto de entrada al robo de dinero. Datos de Chainalysis citados por CoinDesk sitúan las claves privadas comprometidas detrás del 43,8% de las criptomonedas robadas en 2024. Las cifras de DeFiLlama muestran que, hasta junio, se habían perdido 16.690 millones de dólares debido a hackeos y exploits, de los cuales aproximadamente el 40% estaba vinculado a la vulneración de claves.

El hackeo de Humanity Protocol en junio es un ejemplo clásico. El 9 de junio, el fundador Terence Kwok publicó que las claves privadas de un miembro de Humanity Foundation habían sido comprometidas y advirtió a los usuarios que se mantuvieran alejados del puente y los pools de liquidez. El analista de Onchain, Specter, ya había estado siguiendo la fuga de fondos, con pérdidas superiores a los 20 millones de dólares en esa publicación. CoinDesk posteriormente estimó el total en más de 32 millones de dólares en al menos 17 billeteras, y el token H cayó más del 80%. Las cifras nunca coincidieron del todo: el recuento mensual de PeckShield fue de 31 millones de dólares, mientras que la estimación del propio equipo ascendió a aproximadamente 36 millones de dólares, según The Block.

No todos creyeron la explicación. ZachXBT dijo que no creía la versión del equipo y sugirió que se trataba de un creador de mercado que estaba obteniendo ganancias. Esa es su sospecha, no una conclusión.

En cualquier caso, este es el fallo para el que, según Google, se diseñó MPC: una credencial robada no debería ser suficiente para transferir fondos. El análisis de CoinDesk indica que una verificación de políticas antes de la firma podría detener las transferencias que infrinjan los límites o las reglas de aprobación preestablecidas. Nadie puede afirmar, desde fuera, si esto habría cambiado algo en un caso como el de Humanity.

Lo que no cubre

Google también está promocionando el producto contra ataques basados en IA y computación cuántica. Lea esa parte con atención. CoinDesk señala que las protecciones actuales se dirigen a credenciales robadas y transacciones no autorizadas, no a una vulnerabilidad en la criptografía subyacente.

Esa distinción es importante este mes. El 7 de octubre, Justin Drake, investigador de la Fundación Ethereum , pidió a la industria que comenzara a planificar el "modo búnker", término que utiliza para referirse al traslado de fondos a direcciones que nunca han expuesto una clave pública, ante la preocupación de que la IA pudiera descifrar las firmas que protegen las carteras de Bitcoin y Ethereum en cuestión de meses, en lugar de años en el peor de los casos. CoinDesk informó que la publicación obtuvo casi 4 millones de visitas. Vitalik Buterin recomendó tomar el riesgo en serio, pero sin apresurarse a trasladar fondos, y Samson Mow aconsejó a sus seguidores que no entraran en pánico. Ningún sistema de IA ha demostrado ser capaz de romper estas firmas.

Google afirma que su arquitectura puede soportar actualizaciones posteriores a la era cuántica sin que los bancos tengan que reconstruir sus sistemas. No proporcionó un calendario.

Un mercado abarrotado

Google se adentra en un sector que ya cuenta con Fireblocks, Fordefi y BitGo. Según CoinDesk, su propuesta se basa en relaciones bancarias, experiencia en seguridad y neutralidad para los bancos que no desean alquilar infraestructura a un competidor que busca captar a los mismos clientes.

La demanda no es el problema. Según crypto.news, UniCredit estaba explorando la infraestructura de custodia e intermediación de activos digitales en septiembre, y Finance Magnates informó que JPMorgan planea aceptar Bitcoin y Ether como garantía de préstamos para clientes institucionales, utilizando un custodio externo.

Sin embargo, existen ciertas reservas. Incluso con la participación de varios bancos, estos podrían seguir dependiendo de Google para partes del software, las políticas de transacciones y las operaciones. La seguridad depende de cómo un banco configure las aprobaciones y quién edite las reglas. Un firmante legítimo que sea engañado para aprobar una transferencia fraudulenta sigue siendo un problema. Además, Google no ofreció ninguna comparación de rendimiento verificada de forma independiente con los productos de custodia existentes.

Diría que la criptografía es lo más fiable en este caso. La cuestión más compleja es si el comité de riesgos de un banco quiere una dependencia crítica más de Google. Lo que observaré a continuación es si algún banco que realice pruebas lo hará público y qué tarifas cobra Google.