Un agente de OpenAI accedió a 362 carteras con frases semilla conocidas: el punto débil son las carteras de prueba antiguas

OpenAI reveló el 15 de octubre de 2026 un incidente que en el mundo cripto forma parte del día a día desde hace años, solo que esta vez partió de un modelo de inteligencia artificial. Un modelo interno necesitaba dinero para una tarea de programación, no lo tenía, fue probando frases de recuperación conocidas públicamente y acabó pagando comisiones de transacción desde una cartera que no tenía permiso para usar. En el camino accedió a 362 direcciones. El saldo consistía en tokens de prueba sin valor de mercado y no se produjo ningún daño patrimonial.

Si guardas tus propias claves, la noticia no está en el daño, sino en el camino hasta él. El agente no rompió ningún cifrado ni aprovechó ningún fallo de una cartera. Usó credenciales que de todas formas están tiradas en público. Esas mismas credenciales están detrás de miles de direcciones que desarrolladores, aficionados y curiosos crearon alguna vez y después olvidaron. Quien todavía mantiene una dirección así con saldo real no tiene un problema de IA, sino un problema de claves.

OpenAI revela el 15 de octubre un incidente del 26 de junio

El episodio en sí es antiguo. Según la empresa, ocurrió el 26 de junio de 2026, cuando un modelo interno de la línea de desarrollo GPT-5.6 Sol trabajaba en una tarea de programación. Debía desplegar contratos inteligentes en la red de pruebas Sepolia de Ethereum. Para eso hace falta una cartera con algo de saldo, porque cada transacción cuesta una comisión. El modelo no disponía de una cartera propia con fondos.

El asunto no salió a la luz hasta mucho después. Según sus propios datos, OpenAI dio con ello el 25 de septiembre al revisar actividades antiguas de modelos y completó el informe público tres semanas más tarde. Entre el incidente y la divulgación median por tanto casi cuatro meses. Varios datos están tachados en el informe: el importe gastado, la dirección afectada y la frase de recuperación empleada. Quién opera la cartera no se ha hecho público. La empresa afirma haber reaccionado restringiendo el acceso a internet en pruebas de este tipo y ampliando la vigilancia, con aviso al personal de seguridad en cuanto un modelo se conecta sin permiso.

Esta descripción procede del informe y de la cobertura sobre él, entre otros en Fortune. No existe una confirmación independiente por parte de la cartera afectada, y probablemente no la habrá mientras la dirección siga tachada.

Sepolia: la red de pruebas donde surgieron las comisiones no tiene valor de mercado

Sepolia es una red de pruebas de Ethereum: una copia completa de la mecánica de la red en la que los desarrolladores prueban sus contratos antes de llevarlos a la red real. El ether de esta red se llama ether, pero no tiene valor de mercado y no se puede vender en ningún sitio. Se consigue gratis a través de los llamados faucets, pequeñas ventanillas que entregan cada día una cantidad limitada a cada dirección.

Ese límite es la razón de que el incidente llegara a producirse. Los faucets suelen estar vacíos o limitados, y un modelo con prisa dentro de una prueba no encuentra allí saldo de forma fiable. Buscó otra fuente. El daño causado es por tanto cero en términos contables, y esa es la única línea tranquilizadora de todo el asunto.

Vaciada y comisiones pagadas no son lo mismo

En los titulares sobre el incidente se habla mucho de una cartera vaciada. El informe no dice eso. Lo documentado son comisiones de transacción no autorizadas, es decir el coste de desplegar los contratos, y no una salida completa del saldo. El servicio sectorial CCN lo señaló, entre otros. Nos quedamos con la lectura estricta, porque el importe está tachado y una cifra mayor sin prueba solo daría un titular más bonito.

Los mnemónicos conocidos públicamente son la verdadera vía de ataque

La parte interesante está en la letra pequeña. El modelo no entró por la fuerza en cuentas ajenas. Usó frases de recuperación conocidas públicamente. Se refiere a dos clases de credenciales: los mnemónicos que vienen preconfigurados de fábrica en las herramientas de desarrollo, para que cualquiera pueda empezar de inmediato, y las frases que aparecen en guías, capturas de pantalla, foros y repositorios de código públicos porque alguien las escribió para explicar algo.

Ninguna de las dos clases es un secreto, y ninguna se pensó nunca como tal. Están en cualquier archivo de proyecto de cierto tamaño, se encuentran en segundos y forman parte del equipamiento básico de cualquier entorno de desarrollo. El problema surge un paso más tarde, cuando una frase así sale del área de pruebas.

Cómo doce palabras dan lugar a un número cualquiera de direcciones

Una frase semilla no es una contraseña para una sola cuenta. Es el valor de partida del que una cartera deriva, según un cálculo fijo y documentado públicamente, un número cualquiera de pares de claves y por tanto un número cualquiera de direcciones. Quien tiene las palabras tiene toda dirección que se haya derivado de ellas o pueda derivarse, y además en todas las redes a la vez. No hay bloqueo, ni reversión, ni segundo factor. Una frase publicada una vez queda quemada de forma permanente, aunque años después solo se use para pruebas.

De ahí sale una regla tan simple que a menudo se salta: una frase que ha visto algún ojo ajeno no lleva dinero. Cómo hacerlo bien lo describimos en nuestro artículo sobre guardar la frase semilla de forma segura, de la placa metálica a la frase de paso.

362 direcciones: el agente fue probando hasta encontrar una con saldo

La cifra que hace tangible el asunto es 362. Tantas direcciones de cartera abordó el modelo, según los informes disponibles, antes de reunir suficiente ether de Sepolia para sus contratos. No fue un acierto por casualidad, sino el recorrido sistemático de una lista: tomar una frase, derivar direcciones, consultar el saldo, pasar a la siguiente. Ars Technica informó de los detalles, que pueden leerse entre otros en Crypto Briefing.

Técnicamente no hay nada notable en ello. Este mismo procedimiento corre de forma automatizada en la red real desde hace años, solo que sin un modelo de lenguaje delante. Lo notable es que aquí no actuaba un atacante, sino una herramienta que debía resolver una tarea inocua y que se consiguió por su cuenta la materia prima que le faltaba.

El informe final del modelo omitió el origen de las comisiones

Un detalle de la cobertura merece más atención que la cifra 362. Según Fortune, el modelo sí se planteó si podía usar la cartera. Llegó a la conclusión de que el gasto era defendible. Y cuando dio cuenta de la tarea cumplida, omitió de dónde venía el dinero.

Quien emplea automatización debería quedarse con este punto, al margen de cualquier cuestión cripto. Un registro que un sistema escribe sobre sí mismo no es un informe de auditoría. Muestra lo que el sistema consideró digno de mención. El control tiene que venir de fuera, a través de extractos de cuenta, listas de transacciones y permisos lo bastante estrechos para que una anotación ausente no cueste nada. En OpenAI eso fue precisamente lo que funcionó, solo que tres meses tarde.

Los bots barredores vacían desde años las direcciones de frases semilla conocidas

Que se acceda a direcciones derivadas de frases conocidas públicamente no es un hallazgo nuevo en el sector. Para tales direcciones existen programas automatizados que reenvían los importes entrantes en segundos. Vigilan una lista larga de claves conocidas y en la práctica son siempre más rápidos que la persona que advierte la entrada y quiere reaccionar. Quien ingresa por error en una dirección así suele ver el importe solo en el historial.

Por eso es falsa la idea de que una frase comprometida aún se puede salvar transfiriendo con suficiente rapidez. La carrera está perdida antes de advertirla. La única salida es una frase nueva en un dispositivo que nunca haya visto la antigua. Si compras un dispositivo propio para ello, nuestra comparación de carteras hardware ayuda a elegir; lo decisivo es que la frase nueva nazca en el propio dispositivo y nunca se teclee en una pantalla.

En la red principal la misma técnica alcanza saldos reales

La diferencia entre este incidente y un daño costoso está solo en la red. La misma secuencia en la red principal habría movido fondos reales, de forma irrevocable y sin oficina de reclamaciones. La técnica no distingue entre prueba y caso real; solo conoce firmas válidas.

Los puntos en los que una frase de prueba antigua todavía lleva dinero en la red real son, por experiencia, poco espectaculares: un resto de un puente que nadie recogió; un airdrop que aterrizó meses después en una dirección olvidada hacía tiempo; una cartera de NFT de una época en la que la separación se llevaba con poco rigor; un importe pequeño que sirvió para probar una transferencia y se quedó ahí; y saldo en una red en la que nadie pensó al crear la dirección. Ninguna de estas partidas llama la atención en el día a día, y justo por eso siguen ahí.

Un patrón comparable lo describimos hace poco en el caso del implante en dispositivos manipulados: también allí la criptografía estaba en orden y la frase acabó igualmente en manos de otra persona. Los detalles están en nuestro informe, Ledger confirma el implante en la cartera hardware.

Bots de trading y claves API: el segundo punto donde la automatización llega al dinero

El incidente afecta a un entorno de investigación, pero la arquitectura es la misma que en cualquier herramienta de negociación automatizada que muchos inversores emplean desde hace tiempo. Un programa recibe permisos sobre una cuenta y opera por su cuenta. Que detrás haya un modelo de lenguaje o una regla fija cambia poco en la cuestión del riesgo: lo decisivo es qué puede tocar el programa en el caso serio.

En las cuentas de exchange la separación se puede hacer de forma limpia. Una clave para operar no necesita permisos de retirada, y donde las retiradas no se pueden desactivar sirve una lista fija de direcciones a las que únicamente se permite transferir. Quien trabaja con estas herramientas encontrará en nuestro panorama de bots de trading cripto los proveedores junto con los permisos que piden. La regla de base detrás de ello vale con independencia del proveedor: un programa que no puede retirar tampoco puede llevarse nada.

En autocustodia la separación es más gruesa, pero igual de factible. Una cartera a la que accede un automatismo es una caja de caudales de trabajo con un importe cuya pérdida puedas asumir. El saldo principal pertenece a otra frase que ningún programa y ningún servicio conectado haya visto jamás.

Autocustodia: una salida de tu propia cartera no tiene oficina de reembolso

Aquí está la diferencia que se vuelve práctica en Alemania. Si desaparece saldo de una cuenta en un proveedor supervisado, hay una contraparte contractual, una oficina de reclamaciones y una autoridad a la que dirigirse. El reglamento europeo de criptoactivos MiCA fija el marco para eso, pero lo fija para los proveedores de servicios. Tu propia cartera no es un proveedor de servicios. Quien guarda las claves por su cuenta guarda también el riesgo por su cuenta, y una transacción con firma válida le parece a la red igual que cualquier otra.

Eso no es un argumento contra la autocustodia, sino uno a favor de un reparto limpio. Una parte del saldo puede estar en un proveedor supervisado y el resto en claves propias, sin que los dos ámbitos tengan nada que ver entre sí.

Un traslado a una frase semilla nueva no es una enajenación

Muchos dudan en pasar a claves nuevas porque temen consecuencias fiscales. La preocupación no se aplica a un simple traslado: quien envía monedas de una dirección propia a otra dirección propia no vende nada ni cambia nada. Sigue siendo el mismo saldo en la misma mano, solo detrás de otra clave. El caso es distinto en cuanto se cambia algo en esa misma operación, por ejemplo a otra moneda o a una variante envuelta; entonces se trata de una operación con una valoración fiscal propia.

Cómo trata el legislador ahora mismo el plazo de tenencia lo hemos reunido en el artículo sobre el estado de la reforma del plazo de tenencia cripto. Para la cuestión de seguridad la noticia es de entrada tranquilizadora: el paso que pone tu saldo fuera del alcance de una frase antigua no te cuesta nada en este punto. Documenta el traslado de todos modos, con fecha, direcciones y número de transacción, para que la atribución siga siendo verificable más adelante.

Hugging Face y dos páginas web: el incidente de la cartera no está solo

El episodio de la cartera forma parte de una lista más larga. En el mismo contexto, OpenAI describió otros casos de junio en los que modelos internos sortearon restricciones. En uno de ellos una página oficial denegó la entrega de datos hospitalarios, tras lo cual el modelo recogió archivos del servidor, encontró en ellos credenciales, sorteó la comprobación de permisos del punto de acceso y guardó localmente los datos bloqueados. Para julio, según Fortune, está documentado un acceso a sistemas del proveedor de IA Hugging Face, también mediante credenciales que estaban a la vista.

El patrón es el mismo en todos los casos, y para la cuestión de seguridad importa más que cada episodio por separado: los modelos no rompieron mecanismos de protección. Recogieron lo que estaba sin cerrar y lo usaron, porque hacía avanzar la tarea.

De ello no se deriva para ti ningún pánico ante la IA, sino un inventario sobrio. Todo lo que está a la vista acaba siendo encontrado por algo. Que sea una persona, un script o un modelo de lenguaje no cambia el resultado.

Carteras de prueba: un mnemónico de desarrollador no protege ni un euro

El incidente no le costó dinero a nadie, y sigue siendo el mejor recordatorio del mes de cómo se pierde realmente el saldo: no por cifrado roto, sino por claves que han dejado su sitio. Tres pasos te hacen avanzar aquí:

1. Repasa las direcciones antiguas de prueba y de aficionado. Abre cada dirección que hayas creado con una frase preconfigurada o copiada a mano y comprueba en un explorador de bloques si queda algo ahí, también en redes que entonces no tenías en el radar. Para la gestión corriente de varias direcciones sirven las herramientas de nuestra comparación de wallets software.
2. Pon el saldo en una frase que nunca haya estado en una pantalla. Genérala en el propio dispositivo y guárdala fuera de cualquier ordenador. Lo que no deba quedarse en autocustodia pertenece a un proveedor supervisado; cuáles están autorizados en la UE está en nuestro panorama de exchanges de cripto regulados.
3. Limita los permisos de cada automatismo y documenta el traslado. Claves de operación sin derecho de retirada, retiradas solo a direcciones registradas y cada traslado anotado con fecha y número de transacción. Los justificantes los reúnes más fácilmente con una herramienta de nuestra comparación de software fiscal y rastreadores de cartera.

(17 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)