Dieciséis voluntarios dedicaron 27,5 horas a revisar
390 repositorios open-source de Bitcoin la semana pasada, y uno de ellos resumió lo encontrado en una sola frase:
"Estamos promediando alrededor de 1 exploit crítico por hora por persona." Ese voluntario es Calle, un desarrollador de Bitcoin seudónimo y doctor en física, mantenedor del protocolo de ecash Cashu y creador de la implementación de Bitchat para Android, una app de chat basada en Bluetooth mesh que permite transferir Bitcoin sin conexión a Internet. Calle es un desarrollador activo a quien casi nadie fuera de los círculos más especializados del desarrollo de Bitcoin conocía antes de este mes. El panorama cambió en cuanto el barrido que ayudó a coordinar arrojó
4,962 hallazgos, incluyendo 85 críticos, en 390 proyectos, financiado por OpenSats a un costo aproximado de
$40,000 en recursos computacionales. Phemex cubrió esa auditoría como evento el domingo. Este artículo trata sobre la persona detrás del protocolo, sobre el sistema de ecash que casi nadie ha sabido explicar bien y lo que su trabajo voluntario dice sobre quién mantiene el software de Bitcoin seguro en realidad.
Por Qué Calle Importa Tras la Mayor Auditoría de Seguridad Voluntaria de Bitcoin
Calle ha sido figura clave de la comunidad de desarrolladores de
Bitcoin y Lightning desde hace años, conocido mayormente dentro de ese entorno y no fuera de él. Publicó
Cashu como open-source en octubre de 2022, según Bitcoin Magazine, y lo ha mantenido desde entonces a través de Nutshell, su implementación de referencia, el
repositorio oficial de especificaciones del protocolo Cashu, y la wallet Cashu.me, punto de entrada habitual para los usuarios. Es ponente habitual en eventos como BTC Prague y participa en numerosos podcasts enfocados en Bitcoin, donde resalta siempre el mismo tema: la privacidad en Bitcoin es un tema pendiente y quienes construyen las piezas faltantes lo hacen, en su mayoría, como voluntarios. La auditoría Red Team explica la relevancia de ese hecho para una audiencia mucho más amplia. Calle fue uno de los aproximadamente 16 investigadores que organizaron el barrido tras la vulnerabilidad descubierta en el firmware de Coldcard en julio, que expuso cuán poca revisión continua reciben los softwares periféricos de Bitcoin. Su afirmación de "un exploit crítico por hora por persona" no fue marketing, sino la constatación en tiempo real de cuánto código, fundamental para wallets, exchanges y usuarios de Bitcoin, estaba sin examinar.
Qué Son Realmente Ecash y Cashu
Ecash es una de las ideas más longevas del dinero digital, anterior incluso a Bitcoin, y existe poca divulgación dirigida al público general que la explique, a pesar de aparecer reiteradamente en debates sobre privacidad en Bitcoin.
Ecash es un sistema basado en tokens al portador. Una entidad centralizada llamada "mint" (casa de tokens) emite tokens digitales, y quien los posea puede canjearlos, igual que un billete físico. El mecanismo de privacidad reside en que la mint utiliza una técnica criptográfica denominada "firma ciega" (blind signing) para emitir esos tokens sin saber cuál token específico entregó a qué usuario, imposibilitando vincular la identidad con el uso posterior del token.
Cashu implementa ese modelo sobre Bitcoin y Lightning Network. Un usuario deposita Bitcoin en una mint de Cashu, recibe tokens de ecash cegados a cambio, y puede transferirlos instantáneamente a cualquier otra persona, incluso sin conexión a Internet si la transferencia es local, para luego canjearlos por Bitcoin o pagos Lightning a través de la mint. Los tokens son solo datos, lo bastante pequeños para caber en un código QR o enviarse vía Bluetooth, lo que permite su uso offline. El proceso de estandarización de Cashu refleja el modelo de
propuestas de mejoras de protocolo (BIP) de Bitcoin: un registro público versionado sobre lo que debe implementar una wallet o mint para ser compatible. Vale la pena aclarar el principal tradeoff.
Una mint de Cashu es custodia. El usuario confía en que el operador retendrá íntegramente los Bitcoin subyacentes y redimirá los tokens a su solicitud, un riesgo totalmente distinto al expuesto en
comparativas de wallets hardware de autocustodia, cuyo objetivo es eliminar la confianza en intermediarios. Lo que el usuario gana es privacidad extrema en las transacciones, pues la mint no puede ver quién transfiere a quién después de emitir los tokens, liquidez instantánea y la posibilidad de operar sin internet. Esto resulta atractivo para quienes priorizan privacidad y resiliencia offline por encima de la autocustodia absoluta, pero tiene escaso interés para usuarios para quienes la autocustodia es la razón de ser de Bitcoin. Ninguno de los dos grupos está equivocado: cada uno prioriza valores diferentes dentro del mismo protocolo.
| Método |
Privacidad |
Custodia |
Velocidad |
| Bitcoin en cadena |
Pseudónimo, pero permanentemente visible en el libro público |
Autocustodia si gestionas tus propias llaves |
Minutos, según comisiones y confirmaciones |
| Lightning Network |
Más fuerte que en cadena, aunque los nodos de enrutamiento pueden ver metadatos del pago |
Autocustodia con un canal financiado o custodia usando proveedor de wallet |
Casi instantáneo, normalmente sub-segundo |
| Cashu ecash |
Fuerte: la mint no puede ver quién posee un token una vez emitido |
Custodia: el usuario confía en que la mint redima el total de tokens |
Instantáneo, y funciona sin conexión a internet |
Bitchat y la Apuesta por las Transferencias de Bitcoin Offline
Bitchat es una aplicación de mensajería por Bluetooth mesh, originalmente lanzada por Jack Dorsey, que permite a los teléfonos transmitir mensajes entre sí sin torres celulares, routers o servidores de por medio.
Calle desarrolló y mantiene la versión para Android, y es donde su trabajo con ecash se materializa para el usuario común más allá de un diagrama de protocolo. Su versión integra Cashu y Lightning en la propia interfaz de chat, de modo que un hilo de mensajes puede incluir un pago, canjeable en cuanto ambos teléfonos estén nuevamente a distancia Bluetooth. Esto resulta esencial cuando falla la infraestructura habitual. Bitchat registró cerca de 50,000 descargas desde Nepal en un solo día durante los disturbios de septiembre pasado, y el uso aumentó en Irán e India en periodos de restricción de red, según reportes de prensa. Una capa de pagos basada en ecash y Lightning sobre ese mesh significa que el valor puede moverse aún bajo las mismas condiciones que hacen imposible una llamada, sin depender de bancos, exchanges ni siquiera de la señal celular. Es un caso de uso deliberadamente acotado, y justamente allí los tradeoffs del ecash custodial dejan de ser teóricos.
La Auditoría Red Team en Contexto
Phemex ya cubrió el desarrollo de la auditoría Red Team como noticia dominical, por lo que basta un repaso de los datos clave. Dieciséis voluntarios revisaron
390 repositorios open-source de Bitcoin en 27,5 horas, registrando
4,962 hallazgos, de los cuales
85 fueron clasificados críticos, financiados por OpenSats con cerca de
$40,000 en recursos de cómputo. Esto no significa 85 fallos explotables en el núcleo de Bitcoin, sino 85 eventos de severidad crítica distribuidos entre 390 proyectos que incluyen wallets, herramientas de infraestructura y librerías criptográficas —la mayoría externas a Bitcoin Core. El detonante de la auditoría fue la
vulnerabilidad en el firmware de Coldcard y la misma fragilidad aparece en
la larga historia de exploits en puentes e infraestructura DeFi. El papel de Calle en ese sprint no es casual respecto a su actividad principal. Construir y mantener Cashu lo llevó a auditar durante años sus propios supuestos criptográficos bajo el mismo escrutinio que detecta bugs sutiles antes de que sean la próxima Coldcard. Por eso terminó organizando el esfuerzo de revisión en vez de solo aportar hallazgos.
Quién Mantiene Realmente la Periferia de Bitcoin
La incómoda pregunta que deja la auditoría Red Team no es sobre una vulnerabilidad puntual, sino quién está realmente financiado para cuidar los cientos de repositorios de los que dependen en silencio wallets, exchanges y usuarios. Bitcoin Core sí recibe atención continua de un grupo relativamente bien financiado. Los 390 repositorios auditados por el Red Team, en cambio, no —y el propio caso de Cashu lo ejemplifica: un protocolo que protege fondos reales de usuarios, mantenido por contribución open-source y subvenciones ocasionales, no por una nómina.
Una subvención de $40,000 cubriendo un sprint voluntario de 27,5 horas evidencia cuán frágil es esa cobertura. OpenSats existe justamente para llenar ese vacío, financiando tanto la auditoría como la beca de soporte de Calle para Cashu. El punto es de escala: el mismo que surge cada vez que
una figura técnica poco visibilizada resulta responsable de trabajo desmesurado y desapercibido detrás de los grandes titulares. Un solo fin de semana de atención concentrada de 16 personas puso al descubierto casi 5,000 problemas en código que ya mueve dinero real. La revisión de seguridad de infraestructuras financieras pagada por voluntarios es estructuralmente frágil, dependiente de que unas pocas personas decidan, sin paga o con subvenciones, seguir mirando. El plan del Red Team de open-sourcear su sistema de revisión asistida por IA es un intento por reducir esa dependencia. El ritmo de adopción de este sistema entre los 390 proyectos será la métrica clave tras este evento. Nada de esto se mueve al compás del último dato de IPC; ese es otro macrotema de Phemex.
Preguntas Frecuentes
¿Qué es Cashu? Cashu es un protocolo de ecash gratuito y de código abierto que funciona sobre Bitcoin y Lightning Network, permitiendo a los usuarios retener y transferir tokens digitales cegados emitidos por una mint. Es open-source desde octubre de 2022 y ofrece privacidad fuerte en las transacciones y transferencias instantáneas —incluso offline—, a cambio de confiar la custodia de los fondos subyacentes a la mint.
¿Quién es Calle? Calle es un desarrollador de Bitcoin seudónimo y físico con doctorado, creador y mantenedor del protocolo de ecash Cashu y de la implementación Android de Bitchat, una app de mensajería Bluetooth mesh. También fue uno de los 16 voluntarios que lideraron el Red Team de seguridad de Bitcoin en agosto de 2026, revisando 390 repositorios open-source en 27,5 horas. No se conoce públicamente el nombre legal de Calle, quien usa seudónimo por diseño.
¿Es seguro usar ecash? Ecash es criptográficamente robusto en privacidad, ya que una mint bien diseñada no puede rastrear un token hasta quien lo redime. Sin embargo, por diseño es custodial: el usuario confía en la honestidad de la mint para custodiar los BTC y cumplir con los reembolsos, por lo que la principal vulnerabilidad práctica de Cashu está en la confianza hacia el operador, no en la criptografía.
¿Qué es Bitchat? Bitchat es una app descentralizada de mensajería que conecta teléfonos cercanos a través de Bluetooth mesh, sin requerir internet, servidores ni números de teléfono. La implementación de Calle para Android agrega soporte de Cashu y Lightning directamente en la interfaz de chat, posibilitando pagos en Bitcoin junto con los mensajes, aun cuando ambos dispositivos estén offline.
Conclusión
Si tu prioridad es la autocustodia y administrar tus propias llaves es innegociable, Cashu no es adecuado para los fondos que más te importa resguardar, ya que la custodia de la mint es justo el riesgo que deseas evitar. Si para ti la privacidad y la resiliencia offline superan la prioridad de custodiar cada satoshi, una mint Cashu bien gestionada te ofrece ambas en un formato que ni el Bitcoin en cadena ni Lightning pueden igualar hoy. Si evaluas cuáles proyectos periféricos de Bitcoin merecen confianza, las cifras del Red Team son el indicador más objetivo:
390 repositorios revisados, 4,962 hallazgos, 85 críticos, por aproximadamente $40,000 invertidos en cómputo voluntario no es un escándalo, es un piso que evidencia cuánto del trabajo real de seguridad de Bitcoin depende aún de que personas como Calle decidan estar presentes. Observa la adopción del sistema open-source de revisión propuesto por el Red Team entre esos 390 proyectos. Eso, más que un hallazgo individual, marcará si esta fue una corrección puntual o el inicio de una cobertura continua.
Este artículo es solo con fines informativos y no constituye asesoría financiera ni de inversión. El trading de criptomonedas conlleva riesgos sustanciales. Realiza siempre tu propia investigación antes de tomar decisiones de inversión. 
