Una IA rompió por 100.000 dólares el cifrado que NIST llevaba dos años revisando, y Bitcoin se salvó por no tener prisa

Hay una cifra en el anuncio que Anthropic publicó el martes que debería interesar a cualquiera que tenga monedas en una dirección: 100.000 dólares. Es lo que costó, en factura de API, que un modelo de lenguaje encontrara un ataque nuevo contra HAWK, un esquema de firma digital pensado para resistir a los ordenadores cuánticos y que llevaba dos años pasando revisiones de expertos humanos en el concurso de NIST. Tardó unas 60 horas. El investigador que lo supervisaba no era especialista en criptografía de retículos.

Conviene decir de entrada lo que no ha pasado, porque medio Twitter lo contó al revés. Nadie ha roto Bitcoin. Bitcoin firma con ECDSA sobre la curva secp256k1, HAWK no está desplegado en ningún sistema en producción y el camino de migración poscuántica de la red nunca lo incluyó. Lo que sí ha cambiado es el presupuesto necesario para poner en duda un algoritmo criptográfico, y eso afecta al calendario de todo el sector, empezando por el de la propia Bitcoin.

Qué rompió exactamente, y qué no

Según el informe del equipo Frontier Red Team de Anthropic, el modelo Claude Mythos Preview encontró en el retículo que usa HAWK una simetría que nadie había explotado, un automorfismo no trivial. Un trabajo anterior ya había demostrado que encontrar algo así permitiría atacar el esquema, pero nadie sabía si existía en el retículo concreto de HAWK. Existía.

El efecto práctico es que la seguridad efectiva de las claves cae a la mitad. Para el tamaño pequeño, HAWK-256, el coste esperado de recuperar la clave completa se creía de 2⁶⁴ operaciones y quedó demostrado en 2³⁸: unos 67 millones de veces menos trabajo. Sigue siendo un ataque exponencial, no polinómico, así que las claves grandes de HAWK aguantan. El arreglo es duplicar el tamaño de clave, y ahí está el problema real para el esquema.

Duplicar el tamaño de clave de HAWK elimina muchas de las razones que hacían del esquema, tal y como está hoy, un candidato atractivo de firma poscuántica. (Anthropic, 28 de julio de 2026)

Anthropic avisó a los autores de HAWK en junio y coordinó la publicación con la lista pública de NIST el mismo día que sacó el informe. También pasó copias anticipadas a socios de gobierno e industria en Estados Unidos. Es decir: divulgación de libro, sin sorpresas para el organismo que estaba evaluando el algoritmo.

El precio de romper criptografía ya se puede presupuestar

Esa es la noticia. Hasta ahora, auditar un esquema criptográfico serio requería un recurso que no se compra con tarjeta: años-investigador de gente muy escasa y muy cara. Salvo excepciones, ese cuello de botella protegía a los algoritmos poco revisados por pura falta de atención. El precedente que todo el mundo cita es SIKE, otro candidato poscuántico que sobrevivió años de revisión experta y en 2022 se rompió en una hora en un portátil. La diferencia es que aquello fue una idea humana brillante e irrepetible a voluntad. Esto es una campaña que se repite pagando.

El segundo resultado del informe lo enseña aún mejor. Sobre AES, el cifrado simétrico más escrutado que existe, el modelo trabajó casi solo: tres instrucciones sustantivas del investigador, tres días de cómputo y unos mil millones de tokens de salida para dar con una técnica que Anthropic llama Möbius Bridge y que acelera entre 200 y 800 veces el mejor ataque conocido contra una versión reducida a 7 de las 10 rondas de AES-128. Ese ataque asume 2¹⁰⁵ textos claros elegidos, o sea que es impracticable por definición y no toca al AES que cifra tu banca. Pero el cuello de botella se ha invertido: dos investigadores tardaron casi un mes en validar lo que el modelo tardó una semana en encontrar.

Bitcoin se libró por no tener prisa

El marco de migración poscuántica de Bitcoin es la BIP-360, que propone un nuevo tipo de salida, P2QRH, apoyado en ML-DSA y SLH-DSA. Son dos estándares NIST ya finalizados, con un historial de revisión pública mucho más largo que cualquier candidato de tercera ronda. Según el recuento de TFTC, la propuesta entró en el repositorio oficial de BIP en febrero y la BIP-361, que aborda por separado la jubilación de ECDSA, llegó en abril de la mano de Jameson Lopp.

Anthropic subraya que su ataque es específico de HAWK y no afecta a los demás candidatos de NIST ni a la criptografía de retículos en general. Traducido al debate que llevamos meses cubriendo: la corriente conservadora de Bitcoin, la que insistía en esperar a esquemas finalizados en lugar de adoptar lo más nuevo y compacto, acaba de cobrar una factura a su favor. Si la red hubiera corrido detrás del candidato más elegante, hoy tendría que rehacer una parte del diseño.

La lista de esquemas tocados incluye uno que la cripto sí usa

El informe no se queda en dos resultados. Menciona otros ataques en curso, y uno de ellos apunta directamente al patio de atrás de las criptomonedas.

Poseidon es la función hash que usan por dentro los circuitos de pruebas de conocimiento cero, el motor de media docena de redes de privacidad y de casi todos los rollups con validez que se han desplegado. La mejora que reporta Anthropic es menor a 10 veces y no cambia nada operativo, pero es la primera vez que uno de estos anuncios menciona por su nombre una pieza que la cripto tiene en producción hoy, no en una hoja de ruta.

La otra cara: esto es el proceso funcionando

Hay una lectura tranquilizadora y no es tonta. Los concursos de NIST existen exactamente para esto, para que los esquemas se rompan en público antes de que alguien los use para firmar transacciones o certificados. Durante la estandarización de ML-KEM y ML-DSA cayeron varios competidores, y ninguno se llevó a nadie por delante. HAWK ha muerto, si muere, en el sitio correcto y en el momento correcto, y una herramienta capaz de encontrar estos fallos en 60 horas es a largo plazo una defensa, no un arma.

El matiz incómodo es de quién tiene la herramienta. Una campaña de 100.000 dólares y 60 horas es un gasto trivial para la NSA, el GCHQ o cualquier programa estatal con cómputo clasificado, y esos no publican en el blog corporativo. La suposición implícita del proceso público de NIST, que los adversarios mejor financiados están limitados por el mismo ancho de banda de investigadores humanos que la academia, ha dejado de sostenerse. Cuánto tiempo lleva sin sostenerse es una pregunta sin respuesta verificable.

Qué puede cambiar el cuadro

• La próxima comunicación de NIST sobre el estatus de HAWK: si continúa con claves dobles o sale del proceso de firmas adicionales.
• Si los desarrolladores de Bitcoin incorporan criptoanálisis asistido por IA sobre ML-DSA y SLH-DSA antes de activar la BIP-360, y no solo la revisión humana previa.
• El taller académico que Anthropic dice que celebrará en las próximas semanas, y si de ahí sale un protocolo de divulgación para cuando un modelo toque un cifrado en producción.
• Los resultados completos sobre LEA y Poseidon, que la empresa dice que publicará más adelante. El de Poseidon es el que mira de frente a los rollups y a las redes de privacidad.
• Los consorcios de defensa cuántica ya financiados por BlackRock, Coinbase y Strategy, para ver si pasan de auditar código a auditar los propios algoritmos con este tipo de herramientas.

La conversación cripto sobre el día Q lleva años girando sobre una fecha que nadie sabe. El informe del martes no adelanta esa fecha ni un minuto, porque no construye ordenadores cuánticos. Lo que hace es abaratar el trabajo de comprobar si las cerraduras que pensábamos poner aguantan, y el resultado de la primera comprobación seria ha sido que una de ellas no aguantaba. Toca comprobar las otras antes de que un tercio de la red las esté usando.

Datos y fuentes: Anthropic (Frontier Red Team), NIST, TFTC, TheStreet, Quanta Magazine.