El 4 de mayo, un mensaje oculto en código Morse ayudó a activar una transferencia de criptomonedas de seis cifras. Pasó por dos sistemas de IA conectados. Uno era Grok, el chatbot creado por xAI de Elon Musk. El otro era Bankrbot, un agente cripto que puede hacer pagos desde una wallet vinculada.
El atacante primero envió a la wallet un token digital de membresía que desbloqueó las herramientas de pago de Bankr. Luego, Grok descifró el mensaje y Bankrbot trató la respuesta como una orden de pago. Se transfirieron entre 150,000 y 200,000 dólares.
Un mensaje en código Morse se volvió un pago de seis cifras
¿Por qué es preocupante esto? Porque el caso muestra un exploit de seis cifras usando solo dos agentes de IA. Una IA generó texto. La otra lo trató como permiso para gastar.
Si vemos la escala de pagos agénticos con IA hoy, estos escenarios podrían ser una pesadilla para el futuro de las Finanzas Agenticas.
Keyrock contó 176 millones de pagos agenticos on-chain que sumaron 73 millones de dólares hasta abril de 2026. El pago medio estuvo entre 0.01 y 0.10 dólares, mientras que el 76% fue menor de 0.30 dólares. Los pagos pequeños se convierten en un gran problema de control cuando el software puede hacerlos continuamente.
La tendencia ya está entrando en la infraestructura de pagos tradicional. Mastercard lanzó Agent Pay for Machines en junio para pagos frecuentes y de bajo valor, mientras que Google y Visa están desarrollando estándares para que los agentes puedan probar identidad y autorización.
BeInCrypto preguntó a Rodrigo Coelho, CEO de Edge & Node; a Nitin Gaur, jefe de instituciones en Nethermind; y a Francesco Andreoli, director de relaciones de desarrolladores en MetaMask, quién asume el riesgo.
Coelho fue directo.
“La empresa que lo implementó. No existe una versión en la que la responsabilidad recaiga en el modelo”, dijo Rodrigo Coelho, CEO de la desarrolladora de infraestructura de IA y Web3 Edge & Node.
California ya convirtió ese principio en ley. AB 316, vigente desde enero, impide que un acusado que desarrolló, modificó o usó IA pueda argumentar que el sistema causó el daño de forma autónoma. Causación y previsibilidad siguen importando.
El recibo no es el permiso
Una transacción on-chain demuestra que el dinero se movió. No demuestra que el agente tenía un mandato válido para moverlo.
“La mayoría de las empresas que hoy despliegan agentes no puede realmente probar qué estaba autorizado a hacer su agente. Pueden mostrarte la transacción. Ocurrió en una blockchain y el registro es público y permanente. Lo que no pueden mostrar es el permiso detrás de eso”, dijo Coelho.
Las dudas pueden incluir quién delegó la autoridad, qué política aplicaba, qué información leyó el agente y si el pago cumplió los límites. Una dirección de wallet no responde a ninguna de esas preguntas.
Nitin Gaur de Nethermind dijo que la disputa depende del mandato.
“Lo que decide una disputa es la evidencia de la autorización. Si muestras que el agente actuó dentro de un mandato válido, firmado y limitado en el tiempo, esto se resuelve como cualquier otro pago autorizado.”
AP2 de Google usa mandatos firmados criptográficamente para registrar la intención del usuario. El Trusted Agent Protocol de Visa permite que los agentes aprobados presenten firmas digitales para probar identidad y autorización asociada.
Mastercard añade credenciales y límites aplicados automáticamente. Las formas son distintas, pero el objetivo es el mismo: el permiso tiene que viajar junto con el pago.
Pon los límites donde el agente no pueda acceder
Un mandato aún falla si el agente puede reescribirlo, aprobar su propia solicitud o tener poder irrestricto de firma. Coelho sitúa el límite en la clave privada.
“El agente no debe tener las claves. Debe poder proponer un pago y un sistema aparte decide si se autoriza ese pago”, dijo Coelho.
Francesco Andreoli de MetaMask hace el mismo apunte sobre los prompts:
“Los controles que sirven son los que el agente no puede alcanzar. Si tu política vive en el prompt, no es una política, es solo una sugerencia para un sistema al que ya hemos visto hacer cosas por influencia.”
En la práctica, esto significa fondos segregados, límites estrictos por transacción y por día, contrapartes aprobadas, revocación rápida y un kill switch probado. Un sistema independiente verifica las reglas antes de firmar.
Las herramientas que alimentan a los agentes crean otro riesgo. Snyk analizó 3.984 habilidades públicas de agentes en febrero y encontró al menos un problema de seguridad en el 36.82%. Confirmó 76 cargas maliciosas relacionadas con robo de credenciales, puertas traseras o exfiltración de datos.
Gaur considera que la inyección de prompts es el patrón dominante: «La inyección de prompts es el patrón dominante: un agente toma instrucciones de contenido no confiable que se le pidió leer y las ejecuta como si fueran órdenes directas del usuario».
Por eso, para tener una auditoría defendible, se necesita la identidad del agente, mandato firmado, versión de la política, la transacción, los datos fuente y cualquier excepción aprobada, escrito cuando ocurre el pago. La blockchain brinda una parte de esto.
La norma de Gaur es más corta: «Comprobable, revocable y limitada».
Sin esas propiedades, las empresas solo tienen un recibo inmutable de una decisión que no pueden defender.
