El sexto participante de Zcash era Edward Snowden

El sexto nombre

El 27 de abril de 2022, Zcash Media, una división de la productora 37 Laines, emitió un comunicado de prensa confirmando que Edward Snowden —el alertador de la NSA y defensor de la privacidad— era 'John Dobbertin', el participante bajo seudónimo en el proceso de configuración de confianza de Zcash en 2016. El comunicado señalaba que la revelación había sido validada por el propio Snowden en una entrevista exclusiva para el breve vídeo 'El fin de la configuración de confianza de Zcash: ¿Quién es John Dobbertin?' ('The End of Zcash's Trusted Setup: Who is John Dobbertin?').^[3]

Para cualquiera que hubiera seguido a Zcash desde el principio, ese nombre era la última pieza de un rompecabezas de seis años. Cinco de los seis participantes de la ceremonia habían sido identificados a los pocos días del evento; solo Dobbertin seguía siendo una incógnita. Zooko Wilcox, director ejecutivo de Electric Coin Company —la empresa que lanzó Zcash—, explicó en el comunicado que él mismo había reclutado a Snowden: la configuración dividió la generación de claves entre seis participantes precisamente para que bastara con que un único desconocido digno de confianza destruyera una sola clave para impedir la reconstrucción del material secreto que podría permitir la falsificación.^[3]

El anuncio también anticipaba Network Upgrade 5 y Halo, la tecnología destinada a eliminar la necesidad de una configuración de confianza en el nuevo fondo blindado de Zcash. Esa yuxtaposición dio a la revelación su peso histórico: el público conoció el nombre del participante justo cuando el proyecto se preparaba para dejar atrás ese tipo de ceremonias. Ello no significaba que la divulgación de la identidad de Snowden alterara por sí misma la seguridad de los fondos existentes.^[3]

Una clave que jamás debe existir

Cuando Zcash se lanzó en 2016, sus transacciones privadas 'Sprout' dependían de los parámetros públicos de SNARK: objetos matemáticos compartidos que se utilizan para construir y verificar pruebas de conocimiento cero. En un artículo de diseño de 2016, Zooko Wilcox ofreció la explicación más clara posible: generarlos equivalía básicamente a crear un par de claves pública y privada, conservar la clave pública y destruir la privada. Cada usuario dependería de la mitad pública; la mitad privada debía desaparecer.^[1]

Esa mitad privada fue bautizada como 'residuo tóxico' (toxic waste), y la denominación describía con precisión el peligro. Cualquiera que la obtuviera podría crear Zcash falso y, de manera crucial, nada más. El artículo de diseño deja explícito que este era el único daño que podía causar: quien la poseyera no podía vulnerar la privacidad de nadie ni robar las monedas de otros usuarios. La propia analogía de Wilcox provenía de la química: una serie de subproductos industriales, cada uno inofensivo por separado, que forman una sustancia peligrosa únicamente si se permite que todos lleguen a mezclarse. El objetivo absoluto del protocolo era mantener los subproductos separados hasta su destrucción, de modo que el residuo tóxico nunca llegara a existir.^[1]

Wilcox tuvo cuidado, incluso en 2016, de no exagerar lo que garantizaba la destrucción. Destruir la clave privada no hacía que la falsificación fuera imposible en un sentido absoluto: como señaló, toda tecnología monetaria jamás creada ha sido vulnerable a la falsificación, y el propio Bitcoin tuvo en su día un fallo que permitió brevemente a alguien crear 184.000 millones de BTC. Su advertencia más profunda ha envejecido con notable precisión: cualquier sistema que oculte los importes de las transacciones corre el riesgo de perder la capacidad de detectar la falsificación. La clave debía destruirse porque constituía una de las vías para generar dinero falso, no la única concebible.^[1]

Seis estaciones y una cadena de secretos

La defensa fue de carácter estructural. Zcash utilizó una computación multipartita (Multi-Party Computation o MPC): seis participantes, situados en ubicaciones geográficas independientes, generaron cada uno un fragmento de los parámetros utilizando un fragmento correspondiente de clave privada, combinaron las partes públicas y luego eliminaron su fragmento privado. La aritmética del esquema hacía que bastara con un solo desconocido honesto: mientras al menos un participante eliminara con éxito su fragmento, resultaba imposible reconstruir el residuo tóxico. Ante la amenaza de este secreto de configuración, un atacante habría necesitado la contribución secreta de cada uno de los participantes. Dicha condición no descartaba fallos de implementación no relacionados.^[1]

Desde el inicio se conocían tres identidades: Andrew Miller, científico de la computación y asesor técnico de Zcash; Peter Van Valkenburgh; y el propio Zooko Wilcox. Los otros tres fueron presentados bajo nombres ficticios —'Moses Spears', 'Fabrice Renault' y 'John Dobbertin'—, una capa de protección frente a cualquiera que interceptara las comunicaciones o intentara coaccionar a un testigo. Al concluir la ceremonia el 23 de octubre de 2016, se reveló que Moses Spears era Derek Hinch, de NCC Group, a quien Zooko había contratado en secreto para proteger y supervisar forensemente un nodo de cómputo; cuatro días más tarde, Peter Todd, un declarado escéptico de todo el diseño, reveló haber sido Fabrice Renault —invitado, según escribió Zooko, para darle al crítico más mordaz el mejor asiento del auditorio—.^[1]

El registro de diseño de Wilcox describe cómo los participantes intentaron mantener esas contribuciones secretas fuera del alcance de cualquier atacante. Cada fragmento de clave privada existió únicamente en un ordenador recién comprado y aislado físicamente de toda red (air-gapped), al que se le retiraron físicamente las radios wifi y bluetooth antes de encenderlo por primera vez. Los mensajes entre las estaciones se grababan en discos ópticos y se transportaban a mano a través del aislamiento físico, creando un rastro de evidencias de solo adición (append-only) sobre lo que se transfería exactamente. El método de Peter Todd fue muy particular: comprar un ordenador nuevo en una tienda al azar, usarlo y destruirlo por completo un par de días después. El procedimiento convirtió incluso el traslado de un mensaje entre equipos en parte del problema de seguridad.^[1]

La ceremonia contó incluso con un auditor encubierto. El 21 de septiembre de 2017, ECC publicó los resultados de la revisión forense que NCC Group realizó sobre su propia estación: las pruebas de ataque sobre un nodo de prueba redundante revelaron que únicamente un ataque DMA tuvo éxito, y solo de forma parcial, mientras que la opinión experta de NCC concluyó que su nodo de cómputo no fue vulnerado durante el evento. El enfoque de ECC sobre la auditoría fue notablemente honesto: no se encontraron vulnerabilidades fatales, pero las auditorías y los análisis forenses no pueden certificar la ausencia total de intrusiones. La verdadera primera línea de defensa nunca fue la auditoría; fue el diseño que hacía suficiente una sola eliminación honesta.^[2]

Lo que el secreto no podía hacer

El imaginario popular tiende a fundir cualquier catástrofe cripto en una sola: claves robadas, monederos vaciados y privacidad vulnerada. El secreto de la ceremonia era mucho más singular y delimitado que todo eso. No era una contraseña maestra para el monedero de nadie ni una puerta trasera de vigilancia. El artículo de diseño distinguió con claridad la falsificación del robo directo y de la pérdida de privacidad en las transacciones: el residuo tóxico, de haberse llegado a ensamblar, habría funcionado como la plancha matriz de una fábrica de moneda falsa; es decir, otorgaba el poder de imprimir billetes falsos, no el poder de abrir las cajas de seguridad de otros ni de leer su correspondencia.^[1]

Esa naturaleza tan delimitada explica tanto las minuciosas precauciones de la ceremonia como el alivio específico de su desenlace. La clave robada de un monedero perjudica a una sola persona; una clave de residuo tóxico ensamblada habría socavado silenciosamente el fundamento de la moneda: la garantía de que nadie puede gastar dinero que nunca tuvo. A seis participantes se les encomendó crear conjuntamente ese poder para luego destruir de forma fiable sus respectivas partes, sabiendo que una sola destrucción honesta entre ellos bastaría. En otras palabras, Snowden no estaba custodiando las monedas de nadie. Estaba custodiando la propia casa de la moneda.^[1]

El fin de las ceremonias

La ceremonia de 2016 no fue la última de Zcash. La actualización Sapling requirió otro proceso de configuración en 2018, en el que ECC informó de la participación de más de un centenar de personas. Distribuir la participación de forma más amplia redujo la dependencia de personas concretas, pero mantuvo la necesidad de generar y desechar material secreto de configuración. La siguiente vía de investigación consistió en eliminar ese requisito mediante un nuevo sistema de pruebas.^[4]

La salida provino de la investigación. En 2019, Sean Bowe, Jack Grigg y Daira Hopwood, de ECC, publicaron el artículo de Halo, donde presentaron una técnica para crear sistemas de pruebas criptográficas prácticos, escalables y sin necesidad de confianza previa (trustless). Cuando Network Upgrade 5 se activó en la red principal el 31 de mayo de 2022, incorporó Orchard: un fondo blindado basado en Halo 2 que no requiere ceremonia de configuración alguna. En Orchard, los usuarios ya no dependían de que los participantes de una ceremonia eliminaran los secretos de configuración. Este cambio suprimió ese requisito específico de confianza, pero no inmunizó el software contra errores ni sustituyó las reglas de los fondos heredados.^[4]

Ambos acontecimientos ocurrieron con pocas semanas de diferencia: la identidad de Snowden se reveló el 27 de abril y NU5 se activó el 31 de mayo de 2022. Uno completó la lista pública de los participantes originales; el otro introdujo un pool que no necesitaba aquella clase de configuración. Era una etapa de la historia del protocolo, no su forma definitiva. A fecha de 9 de septiembre de 2026, el registro oficial confirma que Ironwood se activó el 28 de julio de 2026 y que NU6.3 restringió el pool Orchard original a las retiradas. NU5 no había eliminado las reglas propias de los pools anteriores. El nombre de Snowden da un rostro memorable a esta historia, pero la pregunta va más allá de él: ¿cuánta confianza debe exigir una moneda a sus usuarios en las personas que ayudaron a construirla?^[3][4][5]