Resuelto el misterio de los números de la NSA en criptografía: no hay puerta trasera y bitcoin nunca se vio afectado

En qué consistía el misterio

En 2000, el instituto de normas estadounidense NIST publicó el estándar de firma digital FIPS 186-2 y, con él, unas curvas elípticas recomendadas, entre ellas cinco sobre cuerpos primos: P-192, P-224, P-256, P-384 y P-521. Los coeficientes de las curvas se obtuvieron con un hash SHA-1 de una «semilla» (seed), un conjunto de números que debía demostrar que nadie había elegido la curva a mano. Este esquema se llama verificablemente aleatorio.

El problema estaba en las propias semillas. Las aportó la Agencia de Seguridad Nacional de Estados Unidos, la NSA, y nadie explicó de dónde salieron. Según se contaba, su autor, el empleado de la NSA Jerry Solinas, habría hasheado una frase en broma y luego la habría olvidado. Solinas murió a principios de 2023, y ya no quedó a quién preguntar.

Mientras la NSA se veía simplemente como un equipo fuerte de matemáticos, se hacía la vista gorda. Todo cambió en 2013: los documentos de Snowden vincularon a la agencia con una puerta trasera en otro estándar del NIST, el generador de números aleatorios Dual_EC_DRBG, y el NIST lo retiró de sus recomendaciones. A partir de entonces, la pregunta de qué se escondía en las curvas empezó a tomarse en serio.

Por qué se sospechaba una puerta trasera

En 2014, los criptógrafos Daniel Bernstein, Tanja Lange y sus coautores publicaron un trabajo con un nombre elocuente, «BADA55»: cómo amañar un estándar de curvas si eres el villano. El argumento es sencillo. Si nadie puede explicar una semilla, su autor pudo probar millones de semillas hasta dar con una curva con una debilidad que solo él conocía. El sitio SafeCurves, de los mismos autores, marcó durante años P-224, P-256 y P-384 como curvas «manipulables».

No había pruebas de una puerta trasera, pero tampoco una refutación. Mientras tanto, media internet se construyó sobre P-256: HTTPS, las passkeys y el inicio de sesión con WebAuthn, los chips seguros de iPhone y Android. En 2023, el criptógrafo Filippo Valsorda y sus colegas ofrecieron una recompensa de 12.288 dólares a quien reconstruyera el origen de las semillas, y prometieron triplicarla si el dinero iba a una causa benéfica.

Qué se descubrió

El 15 de octubre de 2026, un equipo de diez empleados de Anthropic reclamó la recompensa, y el 16 de octubre salió su informe. En el problema trabajó un modelo de investigación interno de la empresa. Según el informe, a propósito no se le dio la pista de la «frase olvidada»: en esa dirección la gente llevaba años excavando sin resultado.

La respuesta resultó más aburrida que la leyenda. No hubo ninguna frase: la semilla no se obtuvo con el hash de una oración, sino que se tomó directamente de la salida del generador. Las semillas son simplemente la salida de lrand48, un generador estándar de números pseudoaleatorios de la familia drand48 que venía en cualquier sistema Unix de los años 90. El generador se inicializaba con la hora actual, y las semillas buscadas aparecieron entre los primeros miles de candidatos.

De paso, se recuperaron las semillas de varias curvas del antiguo estándar bancario ANSI X9.62 y de cuatro curvas binarias del NIST. Los scripts que vuelven a generar todos los números son públicos, y Valsorda reescribió el algoritmo por su cuenta y confirmó que coincide.

Por qué esto despeja la sospecha

Más que de dónde salían los números, la pregunta clave era cuánta libertad tuvo el autor. Para ajustar una curva a una debilidad secreta, hay que probar muchísimas variantes. En 2017, Bernstein y Lange describieron cómo se podría ajustar una curva a una hipotética clase de curvas débiles: para ello, el autor habría necesitado unos 70 bits de libertad al elegir la semilla.

Ahora, según el cálculo de Valsorda, aunque se cuente cualquier segundo de 1997–1998 y cualquiera de los primeros 16 candidatos válidos, al autor le quedaban apenas unos 30 bits. Es demasiado poco para elegir a propósito una curva débil o integrar una puerta trasera que solo la NSA pudiera aprovechar. Los propios investigadores subrayan que no se trata de una ruptura ni de un nuevo ataque contra las curvas, así que no hace falta cambiar nada.

Valsorda lo llamó el cierre de la «rehabilitación» de las curvas del NIST. También añade una salvedad: con el tiempo, de todos modos, podrían sustituirse por firmas poscuánticas.

Qué sigue sin estar claro

• Candidatos omitidos. Para P-256 también servía el candidato 876 de la misma ejecución, pero se eligió el 1.842. En P-224 se saltaron tres candidatos válidos. Por qué, todavía no se ha explicado.
• Puntos base. Cómo se eligieron los puntos de partida de la mayoría de las curvas sigue sin saberse.
• Una curva binaria. No se pudo recuperar la semilla de la curva B-163.

Nada de esto esconde una puerta trasera, porque el autor seguía teniendo demasiado poca libertad. Pero para un estándar perfectamente transparente, convendría cerrar estas preguntas.

¿Y qué pasa con bitcoin?

Bitcoin quedó al margen de esta historia desde el principio. Satoshi Nakamoto eligió otra curva en lugar de P-256, secp256k1, del estándar SEC 2. Su ecuación es de lo más simple, y² = x³ + 7. No tiene semillas aleatorias que haya que explicar, por eso SafeCurves la clasifica como «parcialmente rígida»: no todo está explicado, pero las partes sin explicar apenas dan libertad al autor.

Satoshi nunca explicó públicamente por qué eligió precisamente esta. Pero hoy la elección parece previsora: secp256k1 pasó a Ethereum, Litecoin, Dogecoin y TRON, y también la usan las direcciones transparentes de Zcash. Si tienes bitcoin y quieres cambiarlo sin registro en un exchange de criptomonedas, la curva bajo tus claves es la misma que en 2009.

Otras redes siguieron su propio camino. Solana y TON usan Ed25519, y Monero, la misma curva que Ed25519, pero con sus propias firmas de anillo, que ocultan al remitente. Si te importa la privacidad de las transferencias, y no solo la solidez de la firma, puedes cambiar bitcoin por Monero y recibir monedas en cuya blockchain no se ven ni los importes ni las direcciones.

Aun así, P-256 llegó a las criptomonedas, aunque por la puerta trasera de la comodidad. En diciembre de 2025, la actualización Fusaka añadió a Ethereum la verificación nativa de firmas en esta curva. Eso abarató los monederos inteligentes en los que la transferencia se confirma con una passkey, es decir, con la huella dactilar o Face ID, sin frase semilla.

Qué significa esto para tus claves

La noticia tranquiliza en lo principal: el autor casi no tuvo forma de amañar en secreto las curvas en las que se apoyan HTTPS y las passkeys. Pero deja también una lección secundaria.

Los generadores de este tipo son predecibles: sabiendo aproximadamente la hora de inicio, se pueden repetir sus salidas. Para un estándar de curvas eso no es grave, porque las semillas tienen que ser públicas de todos modos. Para las claves de un monedero es letal: en 2023 así se vaciaron los monederos creados con la utilidad Libbitcoin Explorer, en lo que se conoce como el caso Milk Sad. Su generador también se inicializaba con la hora del sistema. Por eso la frase semilla se crea solo con un monedero fiable en tu propio dispositivo, nunca con un «generador de frases» en una web. Qué hacer con ella después lo explicamos en la guía sobre cómo guardar la frase semilla.

Cómo cambiar de moneda sin cuenta

Si después de esta historia te apetece guardar parte de tus ahorros en una moneda con privacidad por defecto, no necesitas un exchange centralizado para ello. En VertEXchange el intercambio se hace sin registro, correo ni teléfono: eliges el par, pegas la dirección de tu monedero y, antes de enviar, ves el tipo de cambio y la cantidad que recibirás. Las monedas van directamente a tu dirección y el servicio no las custodia.

• El tipo de cambio fijo se mantiene unos 15 minutos mientras se confirma la transferencia.
• Puedes indicar una dirección de reembolso, adonde volverán las monedas si el intercambio no se completa.
• Los datos personales de la operación se borran 24 horas después de completarse, y el historial de intercambios se guarda solo en tu navegador.
• Hay chat de soporte en cada página, y las consultas se resuelven por el código del intercambio.

Si tienes stablecoins, es cómodo comprar bitcoin con USDT TRC20 directamente a tu dirección.

Preguntas frecuentes

¿Había una puerta trasera de la NSA en la curva P-256?

No hay pruebas, y la principal sospecha ha quedado despejada. Las semillas de la curva resultaron ser la salida de un generador corriente iniciado en 1997, y el autor tenía demasiado poca libertad para ajustar la curva a propósito a una debilidad secreta.

¿Afecta esto a bitcoin?

No. Bitcoin usa la curva secp256k1, con parámetros fijos y sencillos, sin semillas sin explicar. Las curvas del NIST no se usan en bitcoin.

¿Quién resolvió el misterio?

Diez empleados de Anthropic, con la ayuda de un modelo de investigación interno de la empresa. El informe salió el 16 de octubre de 2026, y el criptógrafo Filippo Valsorda verificó el resultado de forma independiente.

¿Quién se quedó con la recompensa?

Los 36.864 dólares, la cantidad triplicada, fueron a ISRG, la organización que gestiona los certificados gratuitos de Let's Encrypt.

¿Hay que cambiar las claves o el monedero?

No. Los investigadores dicen claramente que no es una ruptura ni un nuevo ataque. Lo importante es otra cosa: crea tu frase semilla solo con un monedero fiable, no con generadores en webs.