Poseer una clave privada no es suficiente para la seguridad de los activos digitales

Las carteras de computación multipartita (MPC) son el método predominante para las instituciones que buscan la autocustodia de sus activos digitales. Normalmente se trata de un esquema de firma 2-de-2 donde el cliente mantiene una parte de la clave en su dispositivo y el proveedor mantiene la otra. Es mejor que confiar la clave completa a un proveedor e intercambiar su reclamo de propiedad directa sobre un activo por un reclamo de propiedad fraccionada si el proveedor no respalda sus pasivos con activos 1 a 1. Sin embargo, esto solo rasca la superficie de lo que significa el control y la propiedad de los activos digitales. Existen múltiples componentes adicionales en la arquitectura que determinan el uso (o abuso) de la clave y actualmente se presentan en forma de una caja negra SaaS. Es hora de arrojar luz sobre las carteras MPC y mostrar por qué simplemente poseer una parte de la clave está muy lejos de proporcionar un control tangible o un reclamo legítimo de autocustodia.

El papel de las instituciones en la evolución de la custodia de activos digitales

Como era de esperar, las grandes instituciones financieras fueron las primeras en notar esta falacia después de pasar los últimos años monitoreando el espacio de los activos digitales. En lo que respecta a la custodia, comprendieron rápidamente la cuestión de la clave privada, el papel del hardware y también el MPC. Sin embargo, al adoptar un enfoque basado en riesgos para la gestión de proveedores, quisieron entender qué otras dependencias del lado del proveedor existen. Resulta que los clientes siguen dependiendo en gran medida del proveedor para muchas cosas que constituirían un servicio ordinario o el uso del software. Los ejemplos pueden incluir la actualización de políticas y lógica de negocio en la cartera, la incorporación de nuevas cadenas de bloques, la recuperación suave y la recuperación dura de la cuenta, así como múltiples otras operaciones diarias bastante rutinarias y esperadas. Esto se manifiesta en la experiencia del usuario como la necesidad de varios días para que un proveedor atienda cambios a nivel de cuenta o actualice las reglas de la cartera, lo que en última instancia significa que el control principal del cliente frente a ciertos riesgos operacionales identificados se rompe temporalmente hasta que se restablece. 

Llevando esto más allá, los interesados conscientes de la seguridad entienden que poseen una parte de la clave pero también quieren comprender cuál es el riesgo de tener otros componentes lógicos en la arquitectura de custodia alojados por un proveedor SaaS, el método predominante para ofrecer el software de carteras MPC hoy en día. Esto conduce a preguntas como:

1. Si un proveedor realiza la generación de la parte de la clave, ¿qué garantías tengo de que no tengan una copia de mi parte de la clave?
2. Si un proveedor aloja mis políticas, ¿qué impide que el proveedor las cambie?
3. Si el servicio está alojado por el proveedor, ¿cómo garantizo la disponibilidad del servicio y la continuidad del negocio? 
4. Si el proveedor está fuera de línea, ¿qué tan rápido puedo cumplir con mi objetivo de tiempo de recuperación?

Las respuestas a estas preguntas atraviesan rápidamente el velo de cualquier confianza de que el cliente tenga control y propiedad sobre sus activos. La palabra clave allí es “confianza”, ya que las respuestas a todas estas preguntas son formas elaboradas de: “Confíe en nosotros” y, como se ha demostrado con eventos recientes del mercado, eso no ha funcionado muy bien en el pasado. Las instituciones ahora buscan alejarse de ese tipo de cosas mientras refuerzan su resiliencia operativa de cara a 2024. Por lo tanto, los participantes del mercado están comenzando a pensar cómo estos riesgos y posibles pérdidas operativas se reconcilian con su apetito de riesgo, obligaciones regulatorias o cualquier marco relevante que imponga requisitos de capital regulatorio para activos ponderados por riesgo. Los proveedores de servicios son, después de todo, una extensión del área de exposición al riesgo de la firma. Si bien una institución puede delegar una función a un tercero, no puede delegar la responsabilidad de una gestión de riesgos sólida o de obligaciones regulatorias. Cuanto más dependiente es una empresa de un tercero, como ocurre con un proveedor de carteras MPC, mayor es la supervisión y confianza requeridas.  

Aumentar el control sobre los activos digitales para incrementar la seguridad

Una forma de reducir las dependencias de terceros es que las instituciones alojen el software ellas mismas en su propio centro de datos o nube privada, reduciendo la responsabilidad del proveedor a tareas como el mantenimiento y las actualizaciones del software. Esto es preferible para muchas instituciones financieras, ya que los servidores están en las instalaciones para el acceso, mantienen la seguridad de los datos y pueden priorizar verdaderamente la propiedad y el control sobre sus operaciones de custodia. También se discute un modelo de co‑alojamiento que permitiría al cliente ejecutar una instancia del software de custodia mientras el proveedor u otro tercero ejecuta sus propias instancias en una red conectada. Esto podría hacerse de manera que garantice el consenso entre cada parte (confiar pero verificar) de forma que el proveedor no sea una versión centralizada y confiable de la verdad, como ocurre hoy en día. Este modelo de despliegue distribuido también reforzaría la tolerancia a fallos y constituiría una parte crucial de la planificación de continuidad del negocio, sobre la cual los clientes tienen poco control hoy con su proveedor de custodia. Estas limitaciones existen porque las carteras MPC se construyeron en una época anterior y consideraron información de cliente diferente; los productos SaaS son altamente opinados, lo que no favorece su adaptación a una nueva realidad que otorga más poder al cliente. A medida que estas necesidades se hacen cada vez más conocidas y demandadas, el mercado busca proveedores que entren en la corriente mientras la industria avanza a su próximo ciclo de evolución.

En conjunto, las instituciones quieren cada vez más ser los administradores de estos productos de autocustodia y gestionarlos dentro de su perímetro de seguridad, asegurando también altos niveles de disponibilidad del servicio y capacidad de respuesta. Necesitan demostrar resiliencia operativa, continuidad del negocio y recuperación ante desastres con respuestas claras sobre cómo ocurre esto. Un producto SaaS de caja negra o “Confíe en nosotros” no es una opción viable. Por estas razones, se está produciendo un cambio de la gestión del lado del proveedor a la gestión del lado del cliente en lo que respecta a la tecnología de autocustodia. Comenzó con las partes de la clave privada y continuará con el motor de políticas, los servidores y más. Desintermediar al proveedor es beneficioso para el cliente, a menos que el proveedor necesite externalizar completamente esta función, caso en el que la empresa podría necesitar un custodio regulado, ya que no solo permite influir y resolver mejor el riesgo, sino que incluso podría ofrecer mejoras empresariales si la licencia del software permite construir sobre ella para casos de uso exactos o redes blockchain de interés. Este enfoque es coherente con un esfuerzo a nivel de industria que madurará en 2024, y los clientes demandarán cada vez más esto a sus proveedores de tecnología de custodia o cambiarán a un proveedor que pueda facilitar estas mejoras deseables.