Mt. Gox: cuando el exchange se convirtió en el único punto de fallo

El cliente del exchange no controlaba las claves privadas de bitcoins concretos. Veía una cuenta interna y confiaba en que la empresa mantuviera reservas equivalentes, procesara correctamente los retiros y protegiera las wallets. Mientras los retiros funcionaban, la diferencia entre una moneda y el derecho a reclamarla era casi invisible.

En febrero de 2014, Mt. Gox suspendió los retiros y después solicitó protección frente a sus acreedores. La empresa anunció que faltaban unos 850.000 BTC: cerca de 750.000 de clientes y 100.000 propios. No falló el consenso de Bitcoin. Fallaron los registros, la seguridad y la gestión de un intermediario centralizado.

Antes de la caída definitiva ya había señales: problemas con los retiros, retrasos y explicaciones que un cliente no podía verificar de forma independiente. La cifra interna se actualizaba de inmediato, pero la transferencia real a una wallet propia era la única prueba de que la obligación de la empresa correspondía a monedas bajo su control.

Para muchos usuarios, Mt. Gox era Bitcoin. La página de acceso mostraba el precio, su libro de órdenes fijaba la cotización citada por los medios y el botón Buy convertía dólares en saldo digital en segundos. Mark Karpelès parecía un fundador técnico capaz de mantener una máquina compleja. Pero el cliente no veía las wallets, los permisos internos ni si todas las cuentas coincidían con las reservas. Una interfaz cómoda ocultaba que había entregado su patrimonio a una sola empresa en una sola jurisdicción.

Cuando se ralentizaron los retiros, las personas compararon experiencias en foros y algunas viajaron hasta la oficina de Tokio. El acreedor británico Kolin Burges se plantó ante el edificio con un cartel que preguntaba dónde estaba el dinero de los clientes. Dentro se seguía describiendo el problema en términos técnicos; fuera había personas incapaces de pagar facturas o recuperar ahorros. La crisis de confianza no empezó el día de la insolvencia, sino cada vez que el exchange prometió un retiro y ofreció otra explicación en lugar de una transacción.

En marzo de 2014, Mt. Gox anunció que había encontrado unos 200.000 BTC en una wallet de formato antiguo. El hallazgo redujo el déficit neto, pero agravó la pregunta de cómo una empresa que gestionaba cantidades tan grandes podía perder de vista una wallet propia.

Las primeras explicaciones públicas destacaban Transaction Malleability, una propiedad de las transacciones de entonces que permitía cambiar su identificador. Investigaciones y acusaciones posteriores relacionaron gran parte de las monedas robadas con una salida prolongada y su blanqueo a través de BTC-e. Una etiqueta técnica no explicaba años de controles deficientes.

El hallazgo era en sí una alarma contable. Una empresa que custodiaba patrimonio ajeno no sabía que controlaba una reserva de 200.000 BTC hasta que buscó después del colapso. Sin inventario continuo, separación de funciones y comparación entre obligaciones internas y fondos on-chain, las monedas encontradas eran una prueba del mismo problema que parecían aliviar.

En el anuncio del 20 de marzo, Karpelès explicó que estaban en una wallet antigua que la empresa consideraba vacía. Era una buena noticia para los acreedores y una descripción aterradora del control interno. Los doscientos mil bitcoins no aparecieron gracias a una investigación sofisticada del atacante, sino al revisar los antiguos almacenes propios. La empresa descubría qué poseía después de caer.

Análisis posteriores siguieron grandes salidas por direcciones vinculadas a BTC-e y las autoridades estadounidenses acusaron a su operador, Alexander Vinnik, de blanquear fondos robados. Una acusación no equivale a una reconstrucción completa de cada moneda perdida, pero desplazó la explicación de un fallo aislado hacia una extracción prolongada. Transaction Malleability podía complicar la contabilidad de retiros; no justificaba años sin advertir la divergencia entre obligaciones y monedas controladas.

Los fondos rescatados no regresaron a los clientes al pulsar un botón. Siguieron procedimientos japoneses de insolvencia y rehabilitación, verificación de reclamaciones, elección del método de pago y litigios. Los primeros pagos importantes en bitcoin y bitcoin cash comenzaron en 2024.

El administrador aplazó varias veces el plazo final de ciertos pagos; el último aviso oficial lo situó en el 31 de octubre de 2026. Es la segunda lección de la custodia centralizada. Una transacción de Bitcoin puede quedar resuelta en horas, pero un derecho contra una empresa quebrada puede acompañar a alguien durante buena parte de su vida.

Los acreedores tampoco esperaban la simple devolución de saldos idénticos. El procedimiento debía decidir reclamaciones válidas, valoración, divisas de pago y tratamiento del conjunto limitado de activos recuperados. El aumento del precio creó una situación extraña: el patrimonio se apreció enormemente, pero todos soportaron el tiempo, la incertidumbre y las reglas de la insolvencia.

El abogado japonés Nobuaki Kobayashi entró en el centro del relato como administrador de la rehabilitación. Su trabajo era casi lo contrario de la velocidad de un exchange: reunir reclamaciones, verificar identidades, negociar un plan, custodiar las monedas halladas e informar mediante actos jurídicamente vinculantes. Cada prórroga era otro año perdido para quien esperaba, pero no podía repartir claves según una vieja exportación de base de datos. Debía respetar la prelación y los derechos de miles de personas en muchos países.

Durante la espera, algunos acreedores vendieron sus créditos a fondos con descuento porque necesitaban certeza o dinero inmediato. Otros conservaron sus derechos, esperaron diez años y vieron subir el valor de las monedas recuperadas. La misma caída produjo resultados distintos: vender puso fin a la incertidumbre a cambio de asumir una pérdida; seguir esperando mantuvo abierta tanto la posibilidad de cobrar más como el riesgo de nuevas demoras. Detrás de los saldos anónimos había personas para quienes disponer del dinero hoy no era lo mismo que tenerlo prometido para cuando terminara el proceso.

Después de Mt. Gox, «not your keys, not your coins» se volvió experiencia práctica para toda una generación. La custodia propia reduce el riesgo de que una empresa use, pierda o bloquee los fondos. Añade, sin embargo, los riesgos de errores personales que recuerdan Howells y Thomas.

La lección no es que todo intermediario robe ni que todo usuario sepa proteger claves. Es más precisa: un saldo en un Custodial Exchange es una obligación de la contraparte. Quien lo confunde con bitcoin bajo una clave propia ignora la partida decisiva del balance: a quién debe pedir permiso para retirar.

Proof of reserves tampoco es una respuesta completa si no muestra pasivos y reglas de disposición. Una instantánea de direcciones puede confirmar monedas en un momento; no demuestra a quién debe la empresa, si ha pignorado activos ni si sus procesos son seguros. Mt. Gox enseña a comprobar no solo reservas, sino toda la relación entre claves, contabilidad y reclamaciones.

El relato de Karpelès suele retratar a un único culpable, pero la escala del fallo necesitó también una multitud dispuesta a confiar cada vez más al exchange. No fue culpa de los clientes; tenían derecho a esperar que el servicio poseyera lo que mostraba. Pero el efecto de red creó una trampa: cuanta más liquidez tenía Mt. Gox, más útil era y más difícil resultaba marcharse. La centralización no surgió por una orden. Nació de la comodidad, la marca y la decisión de miles de personas de acudir donde ya comerciaban todas las demás.

Tras el colapso quedaron dos libros contables. El blockchain de Bitcoin siguió aceptando toda transacción válida firmada por quien controlaba la clave. La base de datos de Mt. Gox contenía promesas que la empresa ya no podía cumplir. La diferencia no fue un eslogan filosófico, sino diez años de espera. Al mover monedas a una wallet propia, el usuario no deja de arriesgar; cambia el riesgo de las decisiones de Mark Karpelès y un tribunal concursal por su propia capacidad para proteger y recuperar claves.