La línea entre una instrucción legítima de billetera y un deepfake generado por IA se está volviendo más delgada cada semana. Lo que antes requería un actor sofisticado de un estado-nación ahora está al alcance de grupos de fraude de nivel medio, y el sector de las criptomonedas—donde las transacciones irreversibles son la norma—se ha convertido en el coto de caza preferido. Un nuevo informe de la serie Crypto for Advisors de CoinDesk pone un marco urgente al problema: los gestores de patrimonio y los custodios institucionales deben actualizar sus manuales de protección al cliente para una era en la que las huellas de voz y las videollamadas pueden falsificarse en tiempo real.
El momento no es casual. Mientras el Congreso debate una legislación histórica que podría remodelar la regulación de las criptomonedas—legislación que los lobistas bancarios están tratando de descarrilar—la superficie de fraude se está expandiendo más rápido de lo que la normativa puede seguir. Se han utilizado deepfakes de directores ejecutivos para engañar a los equipos de cumplimiento y que aprueben transferencias salientes. Las combinaciones de identidad sintética, ensambladas a partir de datos personales filtrados y fragmentos de voz clonados, están derrotando la autenticación multifactor en un puñado de exchanges. Los asesores ahora enfrentan una doble carga: verificar la identidad de clientes que quizás nunca conozcan en persona y asegurarse de que sus propias comunicaciones no puedan ser suplantadas para autorizar movimientos fraudulentos.
La frontera en expansión del fraude con IA
La mecánica es alarmantemente simple. Las redes generativas antagónicas producen video de alta fidelidad a partir de un puñado de imágenes fijas. Los motores de clonación de voz necesitan solo treinta segundos de audio para replicar la cadencia y el tono. En un entorno de libro mayor sin permisos, eso es suficiente para simular a un cliente solicitando un restablecimiento de la frase semilla o a un director financiero instruyendo a un custodio para liquidar una posición. El informe destaca que estas amenazas no son teóricas: las investigaciones de las fuerzas del orden ya han vinculado videollamadas generadas por IA con robos que superan los 50 millones de dólares en protocolos DeFi y mesas de negociación extrabursátiles.
Lo que hace esto más difícil para las criptomonedas que para las finanzas tradicionales es la falta de un respaldo de seguro central. Los bancos pueden revertir transferencias y restablecer saldos de cuentas bajo ciertas condiciones, pero una clave privada robada o una transacción confirmada en cadena es definitiva. La responsabilidad de la prevención de pérdidas recae casi por completo en el usuario y el asesor. Eso significa que las capas de verificación—validación de tokens de hardware, preguntas de desafío fuera de banda y biometría conductual—ya no son complementos opcionales. Se convierten en el núcleo del propio asesoramiento.
El desafío se ve agravado por la propia infraestructura de identidad de la industria. Muchas plataformas todavía tratan una confirmación por correo electrónico y un escaneo del pasaporte como suficiente para la incorporación. Eso creó una ventana por la que ahora están entrando las identidades sintéticas generadas por IA. El informe original sugiere que los asesores deberían exigir una atestación por video en tiempo real con frases de código rotativas, algo que las herramientas de clonación de voz aún no pueden reproducir sobre la marcha. Sin embargo, incluso eso supone que el propio dispositivo del asesor no ha sido comprometido primero.
Por qué los custodios y asesores de criptomonedas son objetivos
El lado de la gestión de activos de las criptomonedas es ahora un objetivo de nueve cifras. Los asesores de inversión registrados que custodian directamente los fondos de los clientes, o que gestionan la incorporación a protocolos de staking y préstamos, se sitúan en la intersección de grandes saldos y una interacción con el cliente relativamente ligera. Muchos clientes nunca han visitado una oficina física. Las relaciones se mantienen a través de Telegram, correo electrónico y videollamadas trimestrales. Esa arquitectura es precisamente lo que un adversario con una voz clonada y un avatar deepfake puede explotar.
En los últimos doce meses, han surgido casos en los que los estafadores se hicieron pasar por cofundadores de proyectos blockchain para presionar a los miembros del equipo a transferir tokens de tesorería. La misma técnica funciona con family offices e individuos de alto patrimonio cuyos asesores podrían recibir una «llamada del principal» insistiendo en un retiro urgente. Sin una verificación multicanal—algo tan simple como una devolución de llamada a un número previamente registrado—el asesor puede ser el único punto de fallo. El informe lo enmarca sin rodeos: el eslabón más débil no es el cifrado, sino el humano en el punto final.
Brechas regulatorias y respuestas institucionales
La regulación ha tenido dificultades para seguir el ritmo. Si bien la SEC y la CFTC han emitido alertas genéricas de fraude, aún no existe una norma vinculante en los Estados Unidos para la autenticación de identidad en la custodia de activos digitales. La misma ambigüedad que hace que la legislación sobre criptomonedas sea vulnerable a excepciones en el Senado—como se ve en el actual rechazo a un importante proyecto de ley de estructura de mercado—deja fragmentadas las normas de protección al cliente. Los asesores que operan en múltiples jurisdicciones se ven obligados a armar sus propios marcos de riesgo, a menudo dependiendo de seguros que excluyen las pérdidas causadas por «ingeniería social».
Esa ambigüedad ha provocado una ola de inversión en infraestructura. Se están probando protocolos de verificación de identidad descentralizada, y algunas empresas están explorando sistemas de prueba de conocimiento cero que pueden confirmar atributos de identidad sin exponer datos biométricos brutos. En el lado del almacenamiento, la intersección de la IA y las redes descentralizadas está creando nueva resiliencia: proyectos centrados en la computación Web3 impulsada por IA y capas de datos a prueba de manipulaciones, como la asociación de UXLINK con Origins Network, están construyendo infraestructura que eventualmente podría respaldar pistas de auditoría inmutables para las instrucciones de los clientes. Mientras tanto, la demanda de redes de almacenamiento descentralizado capaces de verificar la integridad de los datos—algo que muchos inversores sensibles al precio siguen a través de activos como Filecoin—está aumentando a medida que las empresas buscan almacenar evidencia de consentimiento de una manera resistente a la manipulación.
Aun así, la brecha entre una simulación de fraude pulida y un departamento de cumplimiento listo para la detección sigue siendo amplia. La mayoría de las firmas de asesoría son pequeños negocios con presupuestos de TI limitados. No tienen el lujo de contar con detectores de deepfake internos. Lo que sí tienen, sugiere el informe, es un creciente cuerpo de procedimientos probados en el campo: códigos de verificación rotativos, atestación de tokens de hardware, retrasos obligatorios en transferencias de alto valor y la antigua práctica de enviar físicamente por correo un documento de confirmación a la dirección registrada del cliente antes de procesar un cambio de billetera. Nada de esto es elegante. Pero en un mercado donde un solo paso en falso puede significar una pérdida irrecuperable, la redundancia es la defensa.
La verdad silenciosa del informe es que el ciclo de fraude con IA apenas está comenzando. A medida que los modelos generativos se vuelven más convincentes y menos detectables, la función de asesoría en criptomonedas se verá obligada a parecerse menos a la gestión de carteras y más a la contrainteligencia. Los clientes que se mantengan seguros no serán aquellos con los algoritmos más sofisticados, sino aquellos cuyos asesores traten cada instrucción como adversaria hasta que se demuestre lo contrario.
Lectura relacionada: Unicity presenta Unicity AOS para crear agentes de IA más seguros y confiables.
