La existencia de los activos digitales depende de la fiabilidad de blockchain.
Comprender las vulnerabilidades clave puede ayudar a evaluar mejor la fiabilidad de blockchain.
En los últimos meses se ha hablado mucho sobre la tecnología blockchain y la seguridad y fiabilidad que pueden ofrecer sus redes. Dado que los riesgos y los controles pueden presentar un aspecto distinto en el ecosistema blockchain, especialmente cuando respaldan el proceso de información financiera, la protección de los activos digitales merece un análisis más detallado.
Por qué los blockchains bien diseñados son clave
En contextos tradicionales, un activo puede observarse o rastrearse a través de documentos de origen o de la observación física. Sin embargo, los activos digitales existen como un registro digital mantenido en una blockchain, a menudo sin una representación física adicional. Los activos digitales comprenden una amplia gama de elementos representados como datos binarios con derechos de uso, y pueden ir desde certificados hasta criptoactivos. Si la cadena de bloques deja de funcionar, una empresa podría no ser capaz de afirmar, a través de su información financiera, que el activo digital existe. Por lo tanto, la existencia de los activos digitales depende de la fiabilidad de la blockchain (es decir, de la tecnología blockchain y de la red de soporte).
Identificación de vulnerabilidades
Una blockchain fiable debe tener un diseño eficaz para su finalidad prevista: registrar correctamente la creación o transferencia de un activo digital con los siguientes elementos:
Iniciada u observada a través de servicio de despliegues
Acordada por la red mediante un protocolo de consenso
Mantenida en el registro distribuido por facilitadores de red
Criptográficamente segura
Respaldada por la comunidad de desarrolladores
Puede resultar difícil concluir que un activo digital existe realmente cuando uno o más de estos elementos son vulnerables a fallar. A continuación analizamos algunas de estas vulnerabilidades y lo que las empresas pueden hacer para reforzar sus controles internos sobre la fiabilidad de blockchain.
Servicios de despliegue
Los servicios de despliegue son aquellos proveedores de tecnología y servicios que permiten a personas y empresas interactuar con un activo digital. Entre los ejemplos se incluyen el software explorador de blockchain, las billeteras digitales, los servicios de custodia y los intercambios. Existen variaciones en los tipos de servicios de despliegue y de vulnerabilidades; sin embargo, aquellos que ofrecen servicios de datos (p. ej., lector de blockchain, análisis) plantean desafíos únicos para la existencia. Como parte del respaldo de que un activo digital existe, se debe consultar su representación en la blockchain.
En el ámbito de la información financiera, una empresa puede utilizar un servicio para leer e informar directamente sobre el estado de sus activos digitales (p. ej., tipo, cantidad, transacciones históricas). La información obtenida por la empresa puede proceder de la blockchain, pero puede estar incompleta o ser inexacta debido a errores en el software o a manipulaciones. Las empresas pueden tratar de obtener un informe de auditor de servicios del proveedor de servicios de datos que respalde la fiabilidad de sus controles internos.
Protocolo de consenso
El objetivo del protocolo de consenso es garantizar que los operadores de nodos de la red blockchain lleguen a la misma conclusión sobre la validez de las transacciones. Un protocolo de consenso incluye normas para: designar qué operador(es) de nodos determina(n) qué transacciones deben aceptarse en el siguiente bloque de transacciones registradas como “verdaderas”; operar el modelo de incentivos que fomenta la participación y desalienta a los actores malintencionados; y el intercambio equitativo de información para una verdad común de los hechos entre los operadores de nodos.
La fiabilidad de los registros de blockchain puede ser vulnerable cuando el software de código abierto de una blockchain contiene errores o fallos. Se han descubierto vulnerabilidades críticas en el código fuente de diversas blockchains que, de explotarse, podrían haber provocado una bifurcación (hard fork) involuntaria (es decir, una división de la blockchain). Desafortunadamente, los informes de auditores de servicios no están disponibles para las blockchains públicas, y puede que no sea viable o eficaz que las empresas realicen sus propias revisiones del código fuente. Las empresas pueden considerar formas de evaluar los nuevos desarrollos y los informes sobre vulnerabilidades en las versiones del código.
Facilitadores de red
Los facilitadores de red comprenden a los operadores de nodos de blockchain que realizan las tareas esenciales de validar nuevos bloques y minar (específico de las blockchains de prueba de trabajo) para la red. La mayoría de los operadores de nodos son honestos y buscan respaldar la fiabilidad de los registros de blockchain en pos del modelo de incentivos del protocolo de consenso. Sin embargo, existe una variedad de vectores de ataque contra las redes blockchain según cómo esté diseñado el protocolo de consenso. Ha habido ataques contra redes blockchain que dieron lugar a que las transacciones fueran eliminadas, reorganizadas y reemplazadas. La fiabilidad de los registros de blockchain parece reducirse a medida que hay menos operadores de nodos en una red blockchain. La implementación de políticas de seguridad (p. ej., notarización de bloques, sistemas de penalización) puede considerarse durante el ciclo de vida de una blockchain, pero estas tienden a reducir la velocidad de procesamiento de las transacciones. Las empresas pueden considerar la posibilidad de emplear sus propias actividades de supervisión para comprender y responder a los riesgos.
Seguridad
La seguridad de la tecnología blockchain se produce cuando los datos quedan vinculados criptográficamente a través de la cadena de bloques. Esta característica clave de blockchain también plantea desafíos para revertir transacciones incorrectas o corregir contratos inteligentes no fiables causados por errores de usuario o por un diseño deficiente. Es posible que las empresas deban confiar en los controles internos aplicados por los propietarios de contratos inteligentes y considerar la posibilidad de emplear sus propios controles internos en torno al inicio de transacciones y a la recuperación de transacciones no deseadas con contratos inteligentes.
Comunidad de desarrolladores
Cada blockchain pública cuenta con el respaldo de una comunidad de desarrolladores, que pueden ser personas, grupos de personas y organizaciones formales. Su eficacia es clave para la fiabilidad de blockchain. La comunidad promueve la adopción de su blockchain, responde a los comentarios de los usuarios y de los operadores de nodos, realiza investigación y desarrollo del código fuente, organiza las actualizaciones de versiones y lleva a cabo pruebas y supervisión del código fuente. La comunidad suele organizarse en torno a una fundación sin fines de lucro que ejerce la gobernanza sobre la blockchain. Aunque los activos digitales más conocidos pueden contar con fundaciones activas, existen numerosos activos digitales abandonados en los que la fundación se disolvió o nunca llegó a constituirse. Las empresas pueden considerar la posibilidad de emplear sus propias actividades de supervisión para evaluar la eficacia, la integridad, el talento y las actualizaciones de versiones de una comunidad o fundación.
"Una blockchain fiable debe tener un diseño eficaz para su finalidad prevista: registrar correctamente la creación o transferencia de un activo digital."
Amy Steele
Surgen riesgos y desafíos únicos al considerar la información financiera en este ecosistema. Este artículo solo ha comenzado a abordar los desafíos relacionados con la fiabilidad de la tecnología blockchain y de sus registros, una consideración clave para evaluar si los activos digitales de una empresa realmente existen (el Kit de herramientas de despliegue de blockchain del Foro Económico Mundial, lanzado el mes pasado, analiza estas consideraciones con mayor detalle). Aun así, cada vez está más claro que cada uno de los elementos que respaldan la fiabilidad merece un análisis más profundo, pero siguen existiendo muchas preguntas en relación con estos sistemas de controles internos. Sin duda, las autoridades de todo el mundo están proponiendo marcos, emitiendo orientaciones y ofreciendo retroalimentación a las empresas y a los proveedores de servicios. Las empresas solo se beneficiarán plenamente de la adopción de activos digitales si se muestran proactivas y hábiles para afrontar estos complejos desafíos con la ayuda de controles internos sobre la información financiera, diseñados de forma eficaz.
Colaboradores de este informe: Tim Davis, Risk & Financial Advisory Principal, Deloitte & Touche LLP; Brian Hansen, Audit & Assurance Partner, Deloitte & Touche LLP; Peter Taylor, Audit & Assurance Senior Manager, Deloitte & Touche LLP
